Gli sviluppatori del linguaggio Rust hanno avvertito della scoperta, nel repository crates.io, dei pacchetti finch-rust, sha-rust, evm-units e uniswap-utils contenenti codice malevole.
Il pacchetto evm-units includeva codice per il download di componenti malevoli destinati al furto di criptovalute. Il pacchetto malevolo è stato pubblicato ad aprile 2025 e ha registrato 7257 download. Anche il pacchetto uniswap-utils è stato pubblicato ad aprile, con 7441 download, e utilizzava evm-units come dipendenza. Il codice malevolo si attivava chiamando la funzione get_evm_version() e portava al download di codice esterno tramite il link "https://download[.]videotalks[.]xyz/gui/6dad3/…". Su Linux e macOS, veniva scaricato e avviato uno script init, mentre su Windows veniva utilizzato init.ps1.
Il pacchetto sha-rust è stato pubblicato nella directory il 20 novembre, ha registrato 153 download e conteneva codice per cercare e inviare a un'entità esterna. un server dati riservati. Il pacchetto finch-rust includeva il codice originale del pacchetto finch, al quale era stata aggiunta una chiamata alla funzione «sha_rust::from_str()», alla quale seguiva un gestore offuscato che inviava al server «https://rust-docs-build[.]vercel[.]app/api/v1» informazioni sul sistema, variabili d'ambiente, nonché il contenuto di config.toml, id.json e file con estensione «.env» (ad esempio, production.env, staging.env e dev.env con i token di accesso).
Il 25 novembre è stato pubblicato su crates.io anche il pacchetto finch-rust, che utilizza sha-rust come dipendenza ed è stato creato per un attacco di type-squatting sugli utenti del legittimo pacchetto finch, aspettandosi che l'utente non notasse la differenza nel nome, trovando il pacchetto tramite ricerca o selezionandolo da un elenco.
Fonte: opennet.ru
