Haben nordkoreanische Hacker den Lieferkettenangriff auf arrayref verübt?
- Am 20. August veröffentlichten Angreifer bösartige Versionen von drei weit verbreiteten Rust-Crates, allen voran arrayref.
- Wiz zufolge überschneidet sich die Infrastruktur mit nordkoreanischen Kampagnen, die zuvor von Microsoft und Mandiant identifiziert wurden.
- Die Rechner von Entwicklern und CI-Operatoren, die während des Expositionszeitraums Rust-Code erstellt haben, könnten bereits kompromittiert sein.
Wiz zufolge hat der Lieferkettenangriff, der arrayref, ein Rust-Paket, das in etwa drei Vierteln der Umgebungen, in denen Rust ausgeführt wird, vorhanden ist, vergiftet hat, Vergleiche mit den jüngsten nordkoreanischen Operationen hervorgerufen.
Das schädliche Update enthielt eine Hintertür, die Anmeldeinformationen stiehlt. Der Code war so konzipiert, dass er beim Kompilieren von Projektenmaticausgeführt wird. Daher könnten alle, die am Donnerstag ein Projekt kompiliert haben, ihre Computerdaten und persönlichen Informationen gefährdet haben.
Warum wird Nordkorea für den Hackerangriff auf arrayref verantwortlich gemacht?
Die Wiz-Forscher Rami McCarthy und Benjaminenjhaben einen Bericht veröffentlicht , in dem sie darauf hinweisen, dass die Arrayref-Nutzlast auf einen Befehls- und Kontrollpfad /49890878 sendet, der auch in der Mastra-Kampagne auftaucht.
Microsoft bringt die Mastra-Kampagne mit einer nordkoreanischen Hackergruppe in Verbindung, die es Sapphire Sleet nennt.
Die beim Arrayref-Angriff verwendete IP-Adresse nutzt dasselbe Sicherheitszertifikat wie eine andere Adresse, die bei Mastra verwendet wurde. Außerdem meldete ein Opfer, das verdächtige Aktivitäten gemeldet hatte, eine IP-Adresse, die Google Cloud beim Axios-npm-Angriff identifiziert hatte.
Mandiant zufolge wurde der Angriff von einer nordkoreanischen Gruppe namens UNC1069 verübt. Beide Angriffe nutzten dasselbe Hosting-Unternehmen, Hostwinds.
Der Angriff war schwer zu bemerken, da er nur geringfügige Änderungen vornahm. Ilyas Makari, ein Sicherheitsforscher von Aikido, stellte fest , dass der eigentliche Code in den drei Rust-Paketen arrayref, internment und append-only-vec unverändert blieb. Die einzige Änderung bestand in der Hinzufügung einer neuen Abhängigkeit namens proc-macro1 zu den Paketlisten.
Dieser Name ist eine Falschschreibung des beliebten proc-macro2-Crates, das über 154 Millionen Mal heruntergeladen wurde. Das gefälschte Crate enthält sogar den echten proc-macro2-Code, sodass die Software trotzdem kompiliert werden kann und alle Tests besteht.
Der schädliche Teil war im Build-Skript versteckt.
Cargo führt Build-Skripte automatischmaticKompilierzeit aus. Daher reichte es, wie das Rust Security Response Team in seiner Empfehlung erläuterte, bereits aus, ein Projekt zu kompilieren, das die fehlerhafte Version verwendete, um den Angriff auszulösen.
Nach dem Start stahl die zweite Phase des Angriffs gespeicherte Passwörter aus den Browsern Chrome, Brave und Edge und installierte sich so, dass sie auch nach Neustarts des Computers unter Windows, Mac und Linux aktiv blieb.
Die größte Rust-Kompromittierung nach Downloadzahlen
Aikido gab an, dass dieser Angriff, gemessen an den Downloadzahlen, die größte Kompromittierung einer Rust-Crate darstellt, die sie je beobachtet haben. Die Crate arrayref, die in Tools für Solana und Ethereumverwendet wird, verzeichnete insgesamt etwa 244 Millionen Downloads. Die Sicherheitslücke bestand Berichten zufolge 86 Minuten lang, bevor sie geschlossen wurde.
Das Team gab an, dass Nextron Systems den ersten Bericht verfasst hatte. Nachdem der Angriff entdeckt worden war, stellte das Team die sauberen Versionen wieder her und sperrte das Konto des Entwicklers.
Das Rust-Team gab an, nicht an böswilliges Handeln des Autors zu glauben, sondern vermutete stattdessen, dass dessen Maschine oderdentkompromittiert worden seien.
Bemerkenswerterweise gab Amazon am 29. Juli bekannt, eine Reihe von Angriffen auf die npm-Bibliothek einem einzelnen Akteur mit Verbindungen zu Nordkorea zugeordnet zu haben. TRM Labs berichtete , dass nordkoreanische Gruppen bis April 2026 für etwa 76 % des gesamten Werts von Krypto-Hacks verantwortlich waren (rund 577 Millionen US-Dollar).
Der Black-Hat-Forscher Vangelis Stykas gab an, tracnordkoreanische Hacker . Er fand heraus, dass diese Entwickler häufig mit gefälschten Stellenangeboten ködern, die Schadsoftware installieren – ähnlich der manipulierten Build-Abhängigkeit in diesem Fall.
Die klügsten Köpfe der Krypto-Szene lesen bereits unseren Newsletter. Möchten Sie auch dabei sein? Dann schließen Sie sich ihnen an.
Häufig gestellte Fragen
Welche Rust-Kisten waren beschädigt?
Drei legitime Crates desselben Maintainers wurden manipuliert: arrayref 0.3.10, internment 0.8.7 und append-only-vec 0.1.9. Alle drei fügten eine bösartige Typosquat-Abhängigkeit namens proc-macro1 hinzu und wurden daraufhin von crates.io gelöscht.
Warum hegen Forscher Verdacht gegen Nordkorea?
Wiz stellte fest, dass der Befehls- und Kontrollpfad des Angriffs, die IP-Ausstellerzeichenfolgen und die Hostwinds-Infrastruktur Überschneidungen mit den Mastra- und Axios-Kampagnen aufweisen, die Microsoft und Mandiant Akteuren mit Verbindungen zu Nordkorea zuschreiben.
Was sollten die Entwickler tun, die die betroffenen Pakete erstellt haben?
Da die Payload während des Cargo-Builds ausgeführt wird, raten das Rust-Team und Wiz dazu, jede Workstation oder jeden CI-Runner, der eine fehlerhafte Version aufgelöst hat, als kompromittiert zu betrachten, anschließend alle erreichbarendentzu rotieren und die im Browser gespeicherten Anmeldedaten zurückzusetzen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast zehn Jahren Erfahrung im Bloggen und der Eventberichterstattung im Kryptobereich. Bei Cryptopolitanschreibt sie für die Nachrichtenseite und berichtet und analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Kryptoregulierung, KI und Zukunftstechnologien. Sie hat an der Arcadia University Betriebswirtschaftslehre studiert.
