Im Rust-Repository crates.io wurden vier bösartige Pakete entdeckt.

Die Entwickler der Programmiersprache Rust haben vor der Entdeckung bösartiger Codes in den Paketen finch-rust, sha-rust, evm-units und uniswap-utils im Repository crates.io gewarnt.

Das Paket evm-units enthielt Code zum Herunterladen bösartiger Komponenten, die auf die Entwendung von Kryptowährungen abzielten. Das bösartige Paket wurde im April 2025 veröffentlicht und 7257 mal heruntergeladen. Das Paket uniswap-utils wurde ebenfalls im April hochgeladen, wurde 7441 mal heruntergeladen und verwendete evm-units als Abhängigkeit. Der bösartige Code wurde aktiviert, wenn die Funktion get_evm_version() aufgerufen wurde, und führte dazu, dass ein externer Code über den Link "https://download[.]videotalks[.]xyz/gui/6dad3/..." heruntergeladen wurde. Unter Linux und macOS wurde das Skript init heruntergeladen und ausgeführt, während in Windows init.ps1 verwendet wurde.

Das Paket sha-rust wurde am 20. November veröffentlicht, wurde 153 mal heruntergeladen und enthielt Code zum Auffinden und Senden von vertraulichen Daten an externe Quellen. Server Das Paket finch-rust enthielt ursprünglichen Code aus dem Paket finch, in das ein Aufruf der Funktion „sha_rust::from_str()“ integriert wurde. Bei der Ausführung wurde ein obfuszierter Handler aktiviert, der an den Server "https://rust-docs-build[.]vercel[.]app/api/v1" Informationen über das System, Umgebungsvariablen sowie den Inhalt von config.toml, id.json und Dateien mit der Erweiterung „.env“ (z.B. production.env, staging.env und dev.env mit Zugangstoken) sendete.

Am 25. November wurde auch das Paket finch-rust auf crates.io veröffentlicht, das sha-rust als Abhängigkeit nutzte und für einen Typ-Squatting-Angriff auf Benutzer des legitimen Pakets finch erstellt wurde, in der Annahme, dass der Benutzer den Unterschied im Namen nicht bemerken würde, wenn er das Paket über die Suche oder aus der Liste auswählte.

Quelle: opennet.ru