Angriff auf Rust-Softwarepakete betrifft Solana-Ökosystem

Sicherheitsforscher haben einen koordinierten Supply-Chain-Angriff entdeckt, der drei weit verbreitete Rust-Softwarepakete betrifft: arrayref@0.3.10, internment@0.8.7 und append-only-vec@0.1.9. Über ein gefälschtes Paket namens proc-macro1 wurde beim Kompilieren automatisch Malware auf Systemen von Entwicklern und in automatisierten Build-Umgebungen heruntergeladen und ausgeführt. Da arrayref auch in Komponenten innerhalb des Solana-Ökosystems verwendet wird, hat der Angriff eine große Reichweite, auch wenn das nicht bedeutet, dass Solana-Projekte selbst kompromittiert wurden.

Das Wichtigste in Kürze:

• Drei legitime Rust-Pakete wurden über ein bösartiges Fake-Paket kompromittiert, das beim Bauen von Software Malware ausführt.
• Der Angriff betrifft auch Komponenten, die im Solana-Ökosystem verwendet werden, aber Downstream-Projekte sind nicht zwangsläufig betroffen.
• Das Rust-Sicherheitsteam hat die bösartigen Versionen entfernt und das Konto des Maintainers gesperrt.

Fake-Paket führte Code während der Kompilierung aus

Die Angreifer nutzten Typosquatting: Sie veröffentlichten ein Paket namens proc-macro1, das dem weit verbreiteten proc-macro2 stark ähnelt. Dieses Fake-Paket wurde als Abhängigkeit zu den drei kompromittierten Paketen hinzugefügt. Sobald ein Entwickler oder ein automatisiertes System eines dieser Pakete kompilierte, wurde automatisch ein externes Skript abgerufen und ausgeführt.

Laut den Sicherheitsunternehmen SlowMist, Socket und StepSecurity, die den Angriff gemeinsam meldeten, konnte die Malware auf verschiedene Weise Schaden anrichten: Code aus der Ferne ausführen, Informationen über betroffene Systeme sammeln, dauerhaften Zugriff einrichten, Browserdaten sammeln und zusätzliche Befehle ausführen.

Große Reichweite durch Popularität von arrayref

Das Paket arrayref ist weit verbreitet im Rust-Ökosystem. Die vorherige, saubere Version v0.3.9 verzeichnet schätzungsweise 152 Millionen Downloads. Das Paket ist auch Teil von Abhängigkeitsketten beliebter Rust-GUI-Frameworks und in Komponenten, die bei Solana-Tokens, Staking und Validatoren verwendet werden.

SlowMist warnt davor, dass dies nicht bedeutet, dass diese Projekte oder Systeme tatsächlich kompromittiert wurden. Die Gefährdung hängt davon ab, ob die betroffenen Versionen tatsächlich kompiliert wurden.

Ein zusätzliches Risiko liegt in der Art und Weise, wie Abhängigkeiten festgehalten werden. Wer arrayref = “0.3.9” ohne exaktes Pinning angibt, kann bei einer neuen Installation oder einem Update trotzdem Version 0.3.10 erhalten. Die Forscher empfehlen, die exakte Schreibweise arrayref = “=0.3.9” zu verwenden und die tatsächlich geladene Version in der Cargo.lock-Datei zu überprüfen.

Sicherheitsteam greift ein, Entwickler müssen handeln

Das Rust-Sicherheitsteam hat die bösartigen Paketversionen inzwischen aus der Paket-Repository entfernt und das Konto des Maintainers gesperrt. Die vermutliche Ursache ist, dass die Maschine oder die Veröffentlichungsdaten des Maintainers kompromittiert wurden.

Entwicklern, die die betroffenen Versionen verwendet haben, wird empfohlen, ihre Build-Umgebungen zu überprüfen, möglicherweise exponierte Zugangsdaten zu erneuern und betroffene Systeme aus einer vertrauenswürdigen Umgebung neu aufzubauen. Weitere technische Details zu dem Angriff finden sich in der Rust Security Advisory Database und im Bedrohungsbericht von MistEye.