Udviklerne af sproget Rust har advaret om, at der er opdaget en pakke kaldet rustdecimal i repoet crates.io, som indeholder skadelig kode. Pakken var baseret på den legitime pakke rust_decimal og udnyttede ligheden i navnet (typosquatting) med håbet om, at brugeren ikke ville lægge mærke til manglen på understregningstegn, når de søgte eller valgte en modul fra listen.
Det er bemærkelsesværdigt, at den nævnte strategi viste sig at være succesfuld, da den falske pakke kun var lidt bagefter originalen i antal downloads (~111.000 downloads af rustdecimal 1.23.1 og 113.000 af den originale rust_decimal 1.23.1). De fleste downloads var dog af den harmløse klon, som ikke indeholdt skadelig kode. De skadelige ændringer blev tilføjet den 25. marts i version rustdecimal 1.23.5, som før problemet blev opdaget og pakken blev blokeret, var blevet downloadet omkring 500 gange (det antages, at størstedelen af downloads af den skadelige version blev foretaget af bots) og ikke var blevet brugt i afhængighederne af andre pakker i repoet (det er ikke udelukket, at den skadelige pakke var i afhængighederne af de endelige applikationer).
De skadelige ændringer bestod i tilføjelsen af den nye funktion Decimal::new, hvor implementeringen indeholdt obfuskeret kode til downloading fra eksterne kilder server og udførelse af en eksekverbar fil. Ved kald af funktionen blev der udført en kontrol af miljøvariablen GITLAB_CI; hvis denne var sat, blev en fil /tmp/git-updater.bin downloadet fra en ekstern server. Den downloadede skadelige handler understøttede drift på Linux og macOS (Windows-platformen blev ikke understøttet).
Det blev antaget, at den skadelige funktion ville blive udført under testning på systemer til kontinuerlig integration. Efter blokeringen af rustdecimal udførte administratorerne på crates.io en analyse af indholdet i repoet for at finde lignende skadelige indskud, men fandt ikke problemer i andre pakker. Ejere af CI-systemer baseret på GitLab-platformen anbefales at sikre sig, at de testede deres servere projekter ikke har brugt pakken rustdecimal i deres afhængigheder.
Kilde: opennet.ru
