ハッカーは、広く利用されているRust crate「arrayref」のメンテナーアカウントを侵害し、コンパイル時に開発者のシステム上で実行されるマルウェアを仕込みました。
攻撃者は同じサプライチェーン攻撃の中で、わずか23分の間に「append-only-vec」と「internment」という2つの別のcrateも汚染しています。
arrayref crateは、過去90日間で5,300万件を超えるダウンロード数を誇る人気のRustライブラリで、暗号処理、グラフィックス、ブロックチェーン関連ツールで利用されています。
アプリケーションセキュリティ企業StepSecurityのレポートによると、悪意あるRust crateのリリースはarrayref 0.3.10、append-only-vec 0.1.9、internment 0.8.7の3つで、いずれも同一アカウントによって管理されていたとのことです。
ハッカーは、人気のproc-macro2 crateになりすましたタイポスクワッティングパッケージ「proc-macro1」への依存関係を注入する一方、それ以外の上流のソースコードには一切手を加えませんでした。
研究者によると、proc-macro1に含まれる「build.rs」という名前のスクリプトはコンパイル時に自動実行され、base64エンコードされた断片からインフラを再構築し、ホストOS(Linux x86-64、Windows x86-64、macOS x86-64、macOS ARM64)に応じたペイロードを選択する仕組みになっているとのことです。
StepSecurityによれば、攻撃者はさらに4つのcrate(aovine、arone、aronenao、tinymember)自体を複数バージョンにわたって公開しており、これらはすでにcrates.ioから削除済みです。
Unixシステムでは、このマルウェアは/tmp/rust-setupにファイルを書き込み、実行権限を付与したうえで、デタッチされたプロセスとして起動します。
Windowsでは%TEMP%\rust-setup.ps1を作成し、隠しwscript.exeとVBSランチャーを使ってプロセスを稼働させ続けます。
このペイロードは引数としてアドレスを受け取りますが、これはコマンド&コントロール(C2)のアドレスであるとみられています。
クラウドセキュリティ企業Wizの分析によると、第2段階の機能にはホスト情報や認証情報の窃取が含まれるとのことです。
研究者らによれば、このマルウェアはSQLiteのログインデータベースに問い合わせることで、Google Chrome、Brave、Edgeの各ブラウザから認証情報を収集するとしています。
永続化については、WindowsではレジストリのRunキー、macOSではLaunchAgent、Linuxではsystemdを通じて確立されます。
タイムラインと影響範囲
このサプライチェーン攻撃による潜在的な影響は甚大です。arrayrefだけで累計2億4,500万件を超えるダウンロード実績があり、append-only-vecとinternmentを合わせたインストール数も1,900万件近くに上ります。
arrayrefを利用しているプロジェクトには、blake3、Rust製GUIフレームワークのegui・eframe・iced、さらにEthereumやSolanaで使われているコンポーネントなどが含まれます。
この攻撃は8月20日01:17 UTCに始まりました。まず、著名なRust開発者David Tolnay氏になりすましたGitHubアカウントが作成され、続いてcrates.ioレジストリにも同様のなりすましアカウントが作られました。
01:55には、攻撃者がproc-macro2の無害なコピーである[email protected]を公開し、その後7:11に公開されたバージョン1.0.107で悪意あるアップデートが加えられました。
07:15には、正規のdroundy(David Roundy)アカウントを通じてarrayref 0.3.10が公開される一方、バージョン0.3.5から0.3.9までが削除されました。これはおそらく、悪意あるリリースのインストールを強制するための措置とみられます。
このインシデントは07:54に報告されました。crates.ioは08:03にproc-macro1を削除し、08:41にはarrayref 0.3.10をインデックスから除去しました。
サイバーセキュリティ企業のStepSecurity、SafeDep、Aikidoは、それぞれこのサプライチェーン攻撃に関する技術分析を公開し、侵害の痕跡(IoC)を共有しています。
Wizの研究者らは、「この攻撃キャンペーンのインフラは、Mastraやaxiosを含む、最近の北朝鮮(DPRK)によるサプライチェーン攻撃と重複が見られる」と指摘しています。
約1.5時間に及んだ露出期間中に該当パッケージをインストールした開発者は、侵害を受けたものとみなすべきです。
推奨される確認事項としては、Cargo.lockファイルの調査、ドロップされたファイルの有無の確認、そして23.254.165[.]112宛のポート9089および443へのトラフィックの確認が挙げられます。
侵害が確認された場合は、アクセス可能なすべての認証情報、CIトークン、署名鍵、その他のシークレットをローテーションし、安全なバックアップから環境を再構築することが推奨されます。
影響を受けていないプロジェクトについても、メンテナー側の状況が明確になり解決するまでは、該当する依存関係を既知の安全なバージョンに固定しておくべきです。
攻撃者が正規の認証情報を手に入れた場合、その行動がブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きるかが見えなくなってしまいます。攻撃者が正規の認証情報を使い始めると、防御の成功率は急激に低下します。
「The Blue Report 2026」は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、防御手法ごとの有効性を測定しています。
