Vývojáři jazyka Rust varovali před odhalením balíčku rustdecimal v repozitáři crates.io, který obsahoval škodlivý kód. Balíček byl založen na legitimním balíčku rust_decimal a jeho název (typosquatting) byl zaměřen na to, aby si uživatelé nevšimli chybějícího podtržítka při vyhledávání nebo výběru modulu ze seznamu.
Zajímavé je, že uvedená strategie byla úspěšná a z hlediska počtu stažení byl falešný balíček jen o něco málo pozadu za originálem (~111 tisíc stažení rustdecimal 1.23.1 a 113 tisíc originálního rust_decimal 1.23.1). Přičemž většina stažení připadla na bezobsažný klon, který neobsahoval škodlivý kód. Škodlivé změny byly přidány 25. března v verzi rustdecimal 1.23.5, která byla před odhalením problému a zablokováním balíčku stažena přibližně 500krát (předpokládá se, že většina stažení škodlivé verze byla provedena boty) a nebyla použita jako závislost v jiných balíčcích přítomných v repozitáři (není vyloučeno, že škodlivý balíček byl v závislostech koncových aplikací).
Škodlivé změny spočívaly v přidání nové funkce Decimal::new, jejíž implementace obsahovala obfuskovaný kód pro načítání z externího serveru a spuštění spustitelného souboru. Při volání funkce se prováděla kontrola proměnné prostředí GITLAB_CI, v případě jejího nastavení byl z externího serveru stahován soubor /tmp/git-updater.bin. Stahovaný škodlivý program podporoval použití v Linuxu a macOS (platforma Windows nebyla podporována).
Předpokládalo se, že škodlivá funkce bude provedena během testování na systémové kontinuální integraci. Po zablokování rustdecimal provedli administrátoři crates.io analýzu obsahu repozitáře na přítomnost podobných škodlivých vkládání, ale v jiných balíčcích nebyly odhaleny žádné problémy. Majitelům systémů kontinuální integrace založených na platformě GitLab se doporučuje zajistit, že testované projekty serverech nevyužívaly v závislostech balíček rustdecimal.
Zdroj: opennet.ru
