В Rust-репозитория crates.io са идентифицирани четири зловредни пакета.

Разработчиците на езика Rust предупредиха за откритие на пакети finch-rust, sha-rust, evm-units и uniswap-utils в репозитория crates.io, които съдържат злонамерен код.

Пакетът evm-units включваше код за изтегляне на злонамерени компоненти, насочени към кражба на криптовалута. Злонамереният пакет е публикуван през април 2025 г. и е изтеглен 7257 пъти. Пакетът uniswap-utils също е бил изтеглен през април, е изтеглен 7441 път и използваше evm-units като зависимост. Злонамереният код се активираше при извикване на функцията get_evm_version() и водеше до изтегляне на външен код чрез връзка "https://download[.]videotalks[.]xyz/gui/6dad3/…". В Linux и macOS се изтегляше и стартираше скрипт init, а в Windows — init.ps1.

Пакетът sha-rust е публикуван в каталога на 20 ноември, изтеглен е 153 пъти и съдържа код за търсене и изпращане на външни сървър конфиденциални данни. Пакетът finch-rust включваше оригиналния код от пакета finch, в който е добавено извикването на функцията "sha_rust::from_str()", при изпълнението на която се изпълняваше обфускиран обработчик, изпращащ информация за системата, променливи на околната среда, както и съдържанието на config.toml, id.json и файлове с разширение ".env" (например, production.env, staging.env и dev.env с токени за достъп) на сървъра "https://rust-docs-build[.]vercel[.]app/api/v1".

На 25 ноември в crates.io също беше публикуван пакетът finch-rust, който използва sha-rust като зависимост и е създаден за крадлив атака на потребителите на легитимния пакет finch, разчитайки, че потребителят няма да обърне внимание на разликата в името, намирайки пакета чрез търсене или избирайки от списъка.

Източник: opennet.ru