קרייט Rust זדוני בשם arrayref מריץ מטען בזמן הבנייה

ב-20 באוגוסט 2026 הופיעה ב-crates.io מהדורה שנפגעה של הקרייט הפופולרי arrayref. גרסה 0.3.10 הוסיפה תלות בקרייט מתחזה בשם proc-macro1, שה-script הבנייה שלו מוריד ומריץ קובץ בינארי מרוחק בזמן הקומפילציה. הקוד פועל בשלב הבנייה, כך שדי בכך שפרויקט שמשך את הגרסאות הפגומות יקומפל. צוות crates.io כבר הסיר את המהדורות הזדוניות.

אילו חבילות מעורבות

את הקרייטים האמיתיים arrayref ו-append-only-vec מתחזק droundy, שנראה שהחשבון שלו נפרץ: המאגרים ב-GitHub אינם זמינים עוד. את proc-macro1 פרסם חשבון בשם dtolney, הדומה מאוד לשם dtolnay האמיתי של David Tolnay; המטא-נתונים מציינים אותו כמחבר ומפנים לשדה repository שמחזיר 404.

הגרסאות הזדוניות: arrayref 0.3.10, internment 0.8.7, append-only-vec 0.1.9, וכן proc-macro1, proc-macro-en, aovine, arone, aronenao ו-tinymember. proc-macro1 אינו proc-macro2 האמיתי: תיקיית src שלו היא העתק של proc-macro2, ולכן הבניות המשיכו לעבוד וההחלפה כמעט לא בלטה.

מה עושה script הבנייה

המטען נמצא ב-script הבנייה של proc-macro1 1.0.107. כתובת השרת שמורה כשברי base64 ומורכב מחדש בזמן הבנייה; לאחר פענוח מתקבלים המארח hxxps://23.254.165.112:9089/ וכתובת ה-C2 ‏23.254.165.112:443. ה-script מוריד קובץ בינארי לפי ארכיטקטורה ב-TLS בלי לאמת תעודות, ואז מנתק אותו מהבנייה: ב-Unix הוא מריץ /tmp/rust-setup, ב-Windows כותב script של PowerShell ומשגר VBScript בתיקיית %TEMP% ומפעיל אותם באופן מוסתר.

איך זה התפשט

בעל החשבון ביטל (yank) את המהדורות הישנות של arrayref מ-0.3.5 עד 0.3.9. הביטול גורם ל-Cargo להציג אזהרה שדוחפת מפתחים לגרסה היחידה שאינה מבוטלת — 0.3.10 הזדונית. לפי מחבר הדיווח ל-RustSec, כך בדיוק זה קרה לו.

arrayref משמש כתלות עקיפה נפוצה ויושב עמוק בגרפים של tiny-skia, sctk-adwaita ו-winit, כלומר מתחת לרוב פרויקטי ה-GUI שנבנים על egui, eframe ו-iced. לחבילה כ-245 מיליון הורדות מצטברות, מהן כ-152 מיליון לגרסה הנקייה 0.3.9. בדוח של SafeDep מופיעים ערכי SHA256 של הקבצים שהוסרו ואינדיקטורים ברשת.