Udviklerne af Rust-sproget har advaret om, at der er blevet fundet pakkerne finch-rust, sha-rust, evm-units og uniswap-utils i crates.io-repositoriet, som indeholder skadelig kode.
Pakke evm-units inkluderede kode til at downloade skadelige komponenter, der var målrettet mod at stjæle kryptovaluta. Den skadelige pakke blev uploadet i april 2025 og blev downloadet 7257 gange. Pakke uniswap-utils blev også uploadet i april, blev downloadet 7441 gange og brugte evm-units som en afhængighed. Den skadelige kode blev aktiveret ved kald til funktionen get_evm_version() og førte til download af ekstern kode fra linket "https://download[.]videotalks[.]xyz/gui/6dad3/...". I Linux og macOS blev der downloadet og kørt et init-script, mens der i Windows blev kørt init.ps1.
Pakke sha-rust blev uploadet den 20. november, blev downloadet 153 gange og indeholdt kode til at søge efter og sende til ekstern server fortrolig data. Pakke finch-rust inkluderede original kode fra pakke finch, hvori der blev tilføjet et kald til funktionen "sha_rust::from_str()", ved udførelse af hvilken en obfuskeret handler blev kørt, der sendte systeminformation, miljøvariable samt indholdet af config.toml, id.json og filer med udvidelsen " .env" (f.eks. production.env, staging.env og dev.env med adgangstokens) til serveren "https://rust-docs-build[.]vercel[.]app/api/v1".
Den 25. november blev pakke finch-rust også uploadet til crates.io, som brugte sha-rust som afhængighed og blev oprettet for at gennemføre type-squatting angreb på brugere af den legitime pakke finch, idet man forventede, at brugeren ikke ville bemærke forskellen i navnet, når de fandt pakken gennem søgning eller valgte fra listen.
Kilde: opennet.ru
