Rustライブラリ「arrayref」がサプライチェーン攻撃で改ざん、悪性版が配布

Odaily Planet Dailyによると、8月20日、攻撃者がサプライチェーン攻撃を通じて、広く利用されるRustのコードパッケージ3件の悪性バージョンを公開した。中でも「arrayref」はRust開発環境のおよそ4分の3で利用されているという。悪性アップデートにはバックドアが仕込まれ、ユーザーがプロジェクトをコンパイルするとログイン認証情報を自動的に窃取する仕組みだった。該当バージョンをビルドしたユーザーは、端末や鍵情報が侵害された可能性がある。 Wizの研究者は、arrayrefへの攻撃で使用されたC2（コマンド＆コントロール）基盤が、北朝鮮系ハッキンググループ「Sapphire Sleet」と「UNC1069」による「Mastra」作戦のインフラと重複していると指摘した。IPアドレス、セキュリティ証明書、ホスティング事業者（Hostwinds）が一致していたという。 攻撃者は、人気パッケージ「procmacro2」に似せた誤字の依存関係「procmacro1」を追加しただけで、元のコード自体は改変しなかった。この手口により、テストやビルドを通過しやすくなっていた。悪性バージョンは公開から86分後に削除されたものの、すでに広範にダウンロードされていた。影響を受けたパッケージはSolanaやEthereum関連ツールでも広く使われている。 Rustチームは、メンテナーの関与に悪意はなく、デバイスや認証情報が侵害された可能性が高いとの見方を示している。