Será que os hackers norte-coreanos lançaram o ataque à cadeia de abastecimento da arrayref?
- A 20 de agosto, os atacantes publicaram versões maliciosas de três crates Rust amplamente utilizadas, lideradas pela arrayref.
- A Wiz afirma que a infraestrutura se sobrepõe às campanhas norte-coreanas previamente atribuídas pela Microsoft e pela Mandiant.
- As máquinas dos programadores e operadores de CI que compilaram código Rust durante o período de exposição podem já estar comprometidas.
Wiz afirma que o ataque à cadeia de abastecimento que afetou o arrayref, um pacote Rust presente em aproximadamente três quartos dos ambientes que executam o Rust, gerou comparações com as recentes operações da Coreia do Norte.
A atualização maliciosa escondeu uma porta traseira que rouba informações de login dentro de um código concebido para ser executadomaticquando os utilizadores compilam projetos. Portanto, qualquer pessoa que tenha compilado um projeto na quinta-feira pode ter exposto o seu computador e os seus dados confidenciais.
Porque é que a Coreia do Norte está a ser culpada pelo ataque ao arrayref?
Os investigadores da Wiz, Rami McCarthy e Benjaminenj, publicaram um relatório no qual observaram que a carga útil arrayref envia sinais para um caminho de comando e controlo, /49890878, que também aparece na campanha Mastra.
A Microsoft associa a campanha Mastra a um grupo de hackers norte-coreano chamado Sapphire Sleet.
O endereço de internet (IP) utilizado no ataque arrayref partilha o mesmo certificado de segurança que outro endereço utilizado no Mastra. Além disso, uma vítima que relatou atividade suspeita sinalizou um IP que a Google Cloud viu no ataque axios npm.
A Mandiant afirma que o ataque foi levado a cabo por um grupo norte-coreano chamado UNC1069. Ambos os ataques utilizaram a mesma empresa de alojamento, a Hostwinds.
O ataque foi difícil de detetar porque alterou muito pouco. Ilyas Makari, investigador de segurança da Aikido, descobriu que o código em si dentro dos três pacotes Rust, arrayref, internment e append-only-vec, não foi alterado. A única alteração foi a adição de uma nova dependência à lista de cada pacote, denominada proc-macro1.
Este nome é um erro ortográfico do popular crate proc-macro2, que conta com mais de 154 milhões de downloads. O crate falso inclui até o código real do proc-macro2, pelo que o software ainda compila e passa todos os testes.
A parte prejudicial estava oculta no script de compilação.
O Cargo executa scripts de compilaçãomaticem tempo de compilação, pelo que, como a Rust Security Response Team explicou no seu aviso, bastava compilar um projeto que utilizasse a versão maliciosa para desencadear o ataque.
Uma vez em execução, a segunda etapa do ataque roubou as palavras-passe guardadas dos browsers Chrome, Brave e Edge e instalou-se de forma a sobreviver a reinicializações do computador em sistemas Windows, Mac e Linux.
O maior repositório de compatibilidade do Rust em número de downloads
A Aikido afirmou que este ataque é a maior vulnerabilidade num crate Rust que já viu, medida pelo número de downloads, com o arrayref, utilizado em ferramentas para Solana e Ethereum, a registar cerca de 244 milhões de downloads no total. A vulnerabilidade esteve ativa durante 86 minutos antes de ser removida.
A equipa afirmou que a Nextron Systems fez o relatório inicial. E assim que o ataque foi descoberto, a equipa removeu as versões limpas e bloqueou a conta do responsável pela manutenção.
A equipa do Rust afirmou não acreditar que o autor tenha agido de forma maliciosa, avaliando, em vez disso, que a sua máquina oudentforam comprometidas.
Notavelmente, a Amazon revelou a 29 de julho que tinha ligado uma série de comprometimentos da biblioteca npm a um único agente ligado à Coreia do Norte. A TRM Labs informou que os grupos norte-coreanos foram responsáveis por cerca de 76% de todo o valor desviado pelos hackers de criptomoedas em 2026 até abril (aproximadamente 577 milhões de dólares).
O investigador da Black Hat, Vangelis Stykas, afirmou ter trachackers norte-coreanos em 1.640 empresas, em 57 países. Descobriu que frequentemente atraem programadores com ofertas de emprego falsas que instalam malware, semelhante à dependência de compilação envenenada neste caso.
Se você está lendo isto, já está um passo à frente. Continue assim assinando nossa newsletter.
Perguntas frequentes
Que crates do Rust foram comprometidas?
Três crates legítimas do mesmo mantenedor foram envenenadas: arrayref 0.3.10, internment 0.8.7 e append-only-vec 0.1.9, todas elas adicionando uma dependência maliciosa do tipo typosquat chamada proc-macro1 e que já foram removidas do crates.io.
Porque é que os investigadores suspeitam da Coreia do Norte?
A Wiz descobriu que o caminho de comando e controlo do ataque, as strings de emissor de IP e a infraestrutura da Hostwinds se sobrepõem às campanhas Mastra e Axios, que a Microsoft e a Mandiant atribuíram a agentes ligados à Coreia do Norte.
O que devem fazer os developers que criaram os crates afetados?
Uma vez que o payload é executado durante a compilação do Cargo, a equipa Rust e a Wiz recomendam tratar qualquer estação de trabalho ou executor de CI que tenha resolvido uma versão com problemas como comprometida, rotacionando todas asdentacessíveis e redefinindo os logins armazenados no browser.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. CryptopolitanO não se responsabiliza por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamostrona realização de pesquisas independentesdent /ou a consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação para blogs e cobertura de eventos no universo das criptomoedas. No Cryptopolitan, Hannah contribui para a página de notícias, reportando e analisando os últimos desenvolvimentos em DeFi, RWA, regulamentação de criptomoedas, IA e tecnologias de ponta. Ela se formou em Administração de Empresas pela Universidade Arcadia.
