攻撃者は、著名なRustパッケージarrayrefに関連するメンテナンスアカウントを悪用し、プロジェクトのビルド中に開発者のデバイス上で悪意のあるソフトウェアを実行する悪意のあるリリースを公開した。23分を超えない時間枠の間に、この活動はappend-only-vecとinternmentの2つのパッケージにも及び、ソフトウェアサプライチェーン攻撃となった。
StepSecurityによると、影響を受けたバージョンはarrayref 0.3.10、append-only-vec 0.1.9、internment 0.8.7であり、3つのパッケージは同じアカウントによって管理されていた。arrayrefは広く普及しており、過去90日間のダウンロード数は5,300万回を超え、累計では2億4,500万回を超えている。暗号化、グラフィックス、RustのGUIに関連するプロジェクトやツールに組み込まれているほか、EthereumとSolanaのエコシステムで使用されるコンポーネントにも採用されている。
攻撃はどのように実行されたのか？
攻撃者は、proc-macro2として知られるパッケージの名前を偽装したproc-macro1というパッケージへの依存関係を追加した。元のパッケージのソースの大部分は変更されていなかったため、ソースコードの差分だけを確認する人にとって改ざんの発見はより困難だった。
proc-macro1には、ビルド中に自動的に実行されるbuild.rsファイルが含まれていた。このファイルは、Base64でエンコードされた断片から悪意のある構造体のコンポーネントを再構成し、その後、x86-64およびARM64アーキテクチャのLinux、Windows、macOSを含む各オペレーティングシステムに適したペイロードを選択する。Unixではペイロードが/tmp/rust-setupに書き込まれ、独立したプロセスとして実行される。一方、Windowsでは攻撃によりTEMPフォルダー内にrust-setup.ps1という名前のファイルが作成され、wscript.exeとVBS形式のランナーを使用してプロセスを稼働状態に保つ。
マルウェアは何を盗めるのか？
Wizの分析によると、第2段階ではホスト情報と認証情報を収集する。マルウェアは、Google Chrome、Brave、EdgeのブラウザーにあるSQLiteデータベースからログイン情報を抽出する。また、WindowsではRegistry Run、macOSではLaunchAgent、Linuxではsystemdを通じて永続化メカニズムを作成する。ペイロードは引数としてアドレスを受け取り、これはコマンド・アンド・コントロールサーバーのアドレスと考えられている。
時系列と開発者への意味
キャンペーンは2026年8月20日01:17（協定世界時）に始まった。Rustの著名な開発者David TolnayになりすましたGitHubアカウントが作成され、その後、crates.ioにも類似のアカウントが作成された。01:55にはproc-macro1の無害なバージョンが公開され、07:11には悪意のあるバージョン1.0.107が続いた。4分後、David Roundyに関連する正規のdroundyアカウントを通じてarrayref 0.3.10が公開され、バージョン0.3.5から0.3.9が削除された。このことにより、インストールツールが悪意のあるバージョンを選択する可能性がある。
インシデントは07:54に報告され、crates.ioは08:03にproc-macro1パッケージを削除し、08:41にはインデックスからarrayref 0.3.10を削除した。また、aovine、arone、aronenao、tinymemberというその他のパッケージからも悪意のあるバージョンが削除された。
対応手順
曝露期間である約1時間半の間に影響を受けたバージョンをインストールした人は、環境が侵害されたものとして扱うべきである。調査には、Cargo.lockファイル内で不審なバージョンを検索すること、ドロップされたファイルを確認すること、ポート9089および443を通じたアドレス23.254.165[.]112への通信を調査することが含まれる。侵害が確認された場合、分析では、すべての認証情報、CIトークン、署名キー、その他のシークレットをローテーションし、信頼できるバックアップから環境を再構築することを推奨している。影響を受けていないプロジェクトについては、メンテナンスアカウントの状況が明らかになるまで、安全性が確認されたバージョンを固定すべきである。