Os desenvolvedores da linguagem Rust alertaram sobre a descoberta no repositório crates.io do pacote rustdecimal, que contém código malicioso. O pacote foi baseado em um pacote legítimo chamado rust_decimal e usava uma semelhança no nome (typosquatting) na expectativa de que o usuário não prestasse atenção na ausência do caractere sublinhado ao pesquisar ou escolher um módulo na lista.
Notavelmente, a estratégia mencionada teve sucesso e, em termos de downloads, o pacote falso ficou apenas um pouco atrás do original (~111 mil downloads do rustdecimal 1.23.1 e 113 mil do original rust_decimal 1.23.1). Na maioria dos casos, os downloads foram para o clone inofensivo, que não continha código malicioso. As mudanças maliciosas foram adicionadas em 25 de março na versão rustdecimal 1.23.5, que, antes da identificação do problema e do bloqueio do pacote, havia sido baixada cerca de 500 vezes (presume-se que a maior parte dos downloads da versão maliciosa foi realizada por bots) e não foi utilizada nas dependências de outros pacotes presentes no repositório (não se descarta que o pacote malicioso estivesse nas dependências de aplicações finais).
As alterações maliciosas consistiam na adição de uma nova função Decimal::new, cuja implementação continha código ofuscado para carregar de um externo servidor e executar um arquivo executável. Ao chamar a função, era verificada a variável de ambiente GITLAB_CI; se estivesse definida, um arquivo seria baixado do servidor externo em /tmp/git-updater.bin. O manipulador malicioso suportava operação em Linux e macOS (a plataforma Windows não era suportada).
Supunha-se que a função maliciosa seria executada durante o processo de testes em sistemas de integração contínua. Após o bloqueio do rustdecimal, os administradores do crates.io realizaram uma análise do conteúdo do repositório em busca de inserções maliciosas semelhantes, mas não encontraram problemas em outros pacotes. Os proprietários de sistemas de integração contínua baseados na plataforma GitLab são recomendados a garantir que os projetos testados em seu servidores não utilizem o pacote rustdecimal como dependência.
Fonte: opennet.ru
