Rust 저장소 crates.io에서 악성 패키지 Rustdecimal이 발견되었습니다.

Rust 언어 개발자들은 crates.io 저장소에서 악성 코드가 포함된 Rustdecimal 패키지가 식별되었다고 경고했습니다. 이 패키지는 합법적인 Rust_decimal 패키지를 기반으로 하며 사용자가 목록에서 모듈을 검색하거나 선택할 때 밑줄이 없다는 것을 알아차리지 못할 것이라는 기대와 함께 이름 유사성(타입스쿼팅)을 사용하여 배포되었습니다.

이 전략은 성공한 것으로 나타났으며, 다운로드 수 측면에서 가상 패키지는 원본보다 약간 뒤처졌습니다(rustdecimal 111의 경우 ~1.23.1 다운로드, 원본 Rust_decimal 113의 경우 1.23.1). . 동시에 다운로드의 대부분은 악성 코드가 포함되지 않은 무해한 복제본이었습니다. 악성 변경 사항은 지난 25월 1.23.5일 Rustdecimal 500 버전에 추가되었는데, 이 버전은 문제가 확인되기 전까지 약 XNUMX번 다운로드되어 패키지가 차단되었습니다(악성 버전의 다운로드는 대부분 봇에 의해 이루어진 것으로 추정). 저장소에 있는 다른 패키지에 대한 종속성으로 사용되지 않았습니다(악성 패키지가 최종 애플리케이션에 대한 종속성이었을 가능성이 있음).

악의적인 변경 사항은 Decimal::new라는 새로운 함수를 추가하는 것으로 구성되었으며, 이 함수의 구현에는 외부 서버에서 다운로드하고 실행 파일을 실행하기 위한 난독화된 코드가 포함되어 있었습니다. 함수 호출 시 환경변수 GITLAB_CI를 확인하였고, 설정되어 있으면 외부 서버에서 /tmp/git-updater.bin 파일을 다운로드 받았다. 다운로드 가능한 악성 처리기는 Linux 및 macOS에서 작동을 지원했습니다(Windows 플랫폼은 지원되지 않음).

지속적인 통합 시스템에서 테스트하는 동안 악성 기능이 실행될 것이라고 가정했습니다. Rustdecimal을 차단한 후 crates.io 관리자는 유사한 악성 삽입이 있는지 저장소의 내용을 분석했지만 다른 패키지에서는 문제를 식별하지 못했습니다. GitLab 플랫폼을 기반으로 하는 지속적인 통합 시스템의 소유자는 서버에서 테스트된 프로젝트가 종속성에서 Rustdecimal 패키지를 사용하지 않는지 확인하는 것이 좋습니다.

출처 : opennet.ru