Gli sviluppatori del linguaggio Rust hanno avvisato riguardo alla scoperta nel repository crates.io dei pacchetti finch-rust, sha-rust, evm-units e uniswap-utils, contenenti codice dannoso.
Il pacchetto evm-units conteneva codice per caricare componenti dannosi, mirati al furto di criptovalute. Il pacchetto dannoso è stato pubblicato nell'aprile 2025 e ha registrato 7257 download. Il pacchetto uniswap-utils è stato anch'esso caricato ad aprile, ha registrato 7441 download ed utilizzava evm-units come dipendenza. Il codice dannoso si attivava al richiamo della funzione get_evm_version() e portava al caricamento di codice esterno dal link "https://download[.]videotalks[.]xyz/gui/6dad3/...". Su Linux e macOS veniva scaricato e avviato uno script init, mentre su Windows veniva utilizzato init.ps1.
Il pacchetto sha-rust è stato pubblicato nella directory il 20 novembre, è stato scaricato 153 volte e conteneva codice per la ricerca e l'invio a un'entità esterna di server dati riservati. Il pacchetto finch-rust includeva codice originale dal pacchetto finch, al quale è stata aggiunta la chiamata alla funzione "sha_rust::from_str()", la quale eseguiva un handler offuscato che inviava al server "https://rust-docs-build[.]vercel[.]app/api/v1" informazioni sul sistema, variabili di ambiente, oltre al contenuto di config.toml, id.json e file con estensione ".env" (ad esempio, production.env, staging.env e dev.env con i token di accesso).
Il 25 novembre è stato pubblicato su crates.io anche il pacchetto finch-rust, che utilizza sha-rust come dipendenza e creato per un attacco di typosquatting su utenti del pacchetto legittimo finch, sperando che l'utente non notasse la differenza nel nome, trovando il pacchetto tramite ricerca o selezionando dalla lista.
Fonte: opennet.ru
