Un crate popular de Rust se convierte en vector de malware

Investigaciones de BleepingComputer revelan que un actor malicioso accedió a la cuenta del mantenedor del crate arrayref, una biblioteca de referencia de arrays ampliamente adoptada en el ecosistema Rust. Una vez dentro, el atacante añadió código que descarga y ejecuta un infostealer cada vez que el proyecto es compilado en la máquina del desarrollador.

"Los atacantes introdujeron código malicioso en el crate" (BleepingComputer)

¿Cómo funciona el ataque?

  1. Compromiso de la cuenta: el atacante obtuvo credenciales del mantenedor y publicó una nueva versión del paquete.
  2. Código malicioso: la versión contaminada contiene un script que, al ejecutarse durante la fase de compilación, establece una conexión con servidores de comando y control y extrae datos del entorno local (archivos de configuración, credenciales, etc.).
  3. Propagación automática: cualquier proyecto que declare arrayref como dependencia descarga e instala la versión comprometida desde crates.io, exponiendo a los desarrolladores sin que lo noten.

Impacto y alcance

  • Amplio: arrayref es una dependencia directa o transitoria en cientos de proyectos Rust, lo que permite al atacante alcanzar una gran base de usuarios.
  • Silencioso: el código malicioso se ejecuta durante la compilación, una fase que rara vez se monitoriza con herramientas de detección de comportamiento.

Medidas de mitigación

  • Revisar versiones: verifique la firma de la última versión publicada y compare hashes con versiones anteriores.
  • Bloquear actualizaciones automáticas: utilice herramientas como cargo audit para detectar cambios sospechosos antes de aceptar nuevas versiones.
  • Rotar credenciales: si ha compilado proyectos con la versión comprometida, cambie contraseñas y tokens que puedan haber sido expuestos.
  • Monitorizar actividad de red: detecte conexiones inesperadas desde entornos de desarrollo a dominios desconocidos.

Para más detalles, consulte el artículo original en BleepingComputer: https://www.bleepingcomputer.com/news/security/hackers-poison-arrayref-rust-crate-to-push-infostealer-malware/

¿Estás cubierto en DefensOps?

Nuestro plan Essential incluye una cobertura genérica mediante el motor de correlación, capaz de detectar patrones de comportamiento típicos de ataques de cadena de suministro como este. Aunque no hay técnicas MITRE específicas asociadas, la correlación de eventos de compilación, cambios de paquetes y tráfico de red sospechoso permite identificar la actividad maliciosa.

Plan mínimo recomendado: Essential

Solicita una demo o consulta precios aquí