セキュリティ
悪意あるアップデートにより、日常的なビルド作業が情報窃取マルウェアの配信経路に変えられた
ハッカーは今週、複数の人気Rustパッケージにマルウェアを紛れ込ませ、通常のソフトウェアビルド作業を開発者のマシンへの侵入経路に変えていました。
Rustセキュリティ対応チームは木曜日にこのサプライチェーン攻撃を公表しました。proc-macro1というクレートに関する通報を受けて調査したところ、そのビルドスクリプトがリモートサーバーからマルウェアを取得していることが判明したのです。
この攻撃は単一の不審なクレートにとどまりませんでした。何者かが、正規で広く使われているRustパッケージであるarrayrefの新バージョンを公開し、proc-macro1を依存関係として追加していたのです。攻撃者はさらに、arrayrefの最近の正規リリースを取り下げ、ユーザーを汚染されたリリースへと誘導していました。
Rustチームは、arrayrefのメンテナー自身に責任があるとは考えていません。開発者のコンピューターあるいは認証情報が侵害された可能性が高いとみて、本人への連絡を試みつつアカウントをロックしました。攻撃者は同じ開発者が管理する他の2つのクレート、internmentとappend-only-vecについても悪意あるバージョンを公開していました。
汚染されたリリースが公開されていた期間は短いものでした。arrayref 0.3.10はcrates.io上で86分間、internment 0.8.7は90分間、append-only-vec 0.1.9は107分間公開された後、削除されています。
これはごく短い時間ですが、arrayrefはレジストリの片隅で埃をかぶっているような忘れられたパッケージでは決してありません。この攻撃を独自に分析したセキュリティ企業Aikidoによれば、arrayrefの累計ダウンロード数は約2億4,500万回、append-only-vecは400万回を超えるといいます。ただし、この短い公開期間中にどれだけの開発者が悪意あるバージョンを取得したかは、これらの数字からは分かりません。
Aikidoの調査によると、攻撃者は正規のソースコードにはほとんど手を加えず、正規パッケージproc-macro2のタイポスクワッティングであるproc-macro1への依存関係を追加しただけでした。悪意あるコードはproc-macro1のbuild.rsファイル内に仕込まれていました。
Rustのパッケージマネージャーであるcargoは、コンパイル時にビルドスクリプトを実行します。これによりproc-macro1は、開発者やビルドマシンのOSとプロセッサアーキテクチャを識別し、それに合致するペイロードをダウンロードして実行できるようになっていました。Aikidoは、Linux、Windows、Intel Mac、Apple Silicon Mac向けに作られたマルウェアを確認しています。
この第2段階のペイロードは、単純なダウンローダーにとどまりませんでした。Aikidoは、Google Chrome、Brave、Microsoft Edgeなどのプロファイルを含むChromiumベースのブラウザデータや、暗号資産ウォレットが使用するブラウザ拡張機能のストレージを狙うコードを発見しています。さらに、永続化を確立し、攻撃者のサーバーからコマンドを受信する機能も見つかりました。
Rustチームはまた、proc-macro-en、aovine、arone、aronenao、tinymemberも削除しており、これらのクレートについては全バージョンが悪意あるものとみなすべきだと警告しています。開発者に対しては、Cargoロックファイルおよびローカルレジストリキャッシュにこれらのパッケージが含まれていないか確認するよう呼びかけています。
Rustは、この攻撃を最初に発見し報告した功績をNextron Systemsの研究チームによるものとしています。正規メンテナーがどのように侵害されたのか、何人の開発者が汚染されたリリースをダウンロードしたのか、最終的に何台のシステムでペイロードが実行されたのかについては、現時点で明らかにされていません。
この悪意あるパッケージがcrates.io上に存在していたのは2時間足らずでしたが、その背後にいた者は開発者のマシンへの侵入経路として、実に多くの人が通る道を選んだと言えるでしょう。®
