Im Rust-Repository crates.io wurde ein schädliches Paket rustdecimal entdeckt.

Die Entwickler der Programmiersprache Rust haben vor der Entdeckung eines schädlichen Codes im Repository crates.io gewarnt. Das Paket basierte auf dem legitimen Paket rust_decimal und nutzte eine Namensähnlichkeit (Typosquatting), in der Annahme, dass der Benutzer bei der Suche oder der Auswahl eines Moduls aus der Liste nicht auf das Fehlen des Unterstrichs achten würde.

Bemerkenswert ist, dass die genannte Strategie erfolgreich war und beim Download-Zahlen der gefälschte Paket lediglich leicht hinter dem Original zurückblieb (~111.000 Downloads von rustdecimal 1.23.1 und 113.000 des Original rust_decimal 1.23.1). Dabei entfielen die meisten Downloads auf einen harmlosen Klon, der keinen bösartigen Code enthielt. Die schädlichen Änderungen wurden am 25. März in der Version rustdecimal 1.23.5 hinzugefügt, die vor der Entdeckung des Problems und der Sperrung des Pakets etwa 500 Mal heruntergeladen wurde (es wird angenommen, dass der Großteil der Downloads der bösartigen Version von Bots durchgeführt wurde) und nicht in den Abhängigkeiten anderer Pakete im Repository verwendet wurde (es ist nicht auszuschließen, dass das bösartige Paket in den Abhängigkeiten der Endanwendungen war).

Die bösartigen Änderungen bestand darin, eine neue Funktion Decimal::new hinzuzufügen, in deren Implementierung obfuskierter Code für den Download von externen Server und das Ausführen der ausführbaren Datei. Bei der Funktion wurde die Umgebungsvariable GITLAB_CI überprüft, und wenn sie gesetzt war, wurde die Datei /tmp/git-updater.bin von einem externen Server heruntergeladen. Der heruntergeladene schädliche Handler unterstützte die Ausführung unter Linux und macOS (Windows-Plattform wurde nicht unterstützt).

Es wurde angenommen, dass die bösartige Funktion während des Tests in Continuous Integration-Systemen ausgeführt wird. Nach der Blockierung von rustdecimal führten die Administratoren von crates.io eine Analyse des Repository-Inhalts auf ähnliche bösartige Einspeisungen durch, entdeckten jedoch keine Probleme in anderen Paketen. Den Betreibern von Continuous Integration-Systemen basierend auf der GitLab-Plattform wird geraten, sicherzustellen, dass die getesteten Servern Projekte das Paket rustdecimal nicht in ihren Abhängigkeiten verwendeten.

Quelle: opennet.ru