Twórcy języka Rust ostrzegli o wykryciu w repozytorium crates.io pakietów finch-rust, sha-rust, evm-units i uniswap-utils, które zawierają złośliwy kod.
Pakiet evm-units zawierał kod do pobierania złośliwych komponentów, mających na celu kradzież kryptowalut. Złośliwy pakiet został opublikowany w kwietniu 2025 roku i pobrano go 7257 razy. Pakiet uniswap-utils również został pobrany w kwietniu, miał 7441 pobrań i używał evm-units jako zależności. Złośliwy kod aktywował się przy wywołaniu funkcji get_evm_version() i powodował pobranie zewnętrznego kodu z linku "https://download[.]videotalks[.]xyz/gui/6dad3/…". W systemach Linux i macOS ładowany i uruchamiany był skrypt init, a w Windows — init.ps1.
Pakiet sha-rust został opublikowany w katalogu 20 listopada, pobrano go 153 razy i zawierał kod do wyszukiwania i wysyłania na zewnątrz serwer danych poufnych. Pakiet finch-rust zawierał oryginalny kod z pakietu finch, do którego dodano wywołanie funkcji „sha_rust::from_str()”, przy wykonaniu której uruchamiano obfuskowany handler, przesyłający na serwer „https://rust-docs-build[.]vercel[.]app/api/v1” informacje o systemie, zmienne środowiskowe oraz zawartość plików config.toml, id.json i plików z rozszerzeniem „.env” (np. production.env, staging.env i dev.env z tokenami dostępu).
25 listopada w crates.io opublikowano również pakiet finch-rust, który korzystał z sha-rust jako zależności i został stworzony do ataku typu typosquatting na użytkowników legalnego pakietu finch, zakładając, że użytkownik nie zwróci uwagi na różnice w nazwie, znajdając pakiet w wyniku wyszukiwania lub wybierając z listy.
Źródło: opennet.ru
