Vývojáři programovacího jazyka Rust varovali před objevem balíčků finch-rust, sha-rust, evm-units a uniswap-utils v repozitáři crates.io, které obsahují škodlivý kód.
Balíček evm-units obsahoval kód pro stahování škodlivých komponent zaměřených na krádež kryptoměny. Škodlivý balíček byl zveřejněn v dubnu 2025 a byl stažen 7 257krát. Balíček uniswap-utils byl také nahrán v dubnu, byl stažen 7 441krát a jako závislost používal evm-units. Škodlivý kód byl aktivován při volání funkce get_evm_version() a způsobil stažení externího kódu z odkazu „https://download[.]videotalks[.]xyz/gui/6dad3/…“. Linux и macOS inicializační skript byl načten a spuštěn a v Windows — init.ps1.
Balíček sha-rust byl do adresáře přidán 20. listopadu, byl stažen 153krát a obsahoval kód pro vyhledávání a odesílání na externí server. serveru důvěrná data. Balíček finch-rust obsahoval původní kód z balíčku finch, který přidal volání funkce „sha_rust::from_str()“. Po spuštění tato funkce spustila obfuskovaný obslužný program, který odeslal systémové informace, proměnné prostředí a obsah souborů config.toml, id.json a souborů s příponou „.env“ (např. production.env, staging.env a dev.env s přístupovými tokeny) na server „https://rust-docs-build[.]vercel[.]app/api/v1“.
25. listopadu byl na crates.io zveřejněn také balíček s názvem finch-rust, který používá jako závislost sha-rust a byl navržen tak, aby uživatele legitimního balíčku finch překlepl v naději, že si uživatelé rozdílu v názvu nevšimnou, když balíček vyhledávají nebo vybírají ze seznamu.
Zdroj: opennet.ru
