Os desenvolvedores da linguagem Rust alertaram sobre a descoberta no repositório crates.io dos pacotes finch-rust, sha-rust, evm-units e uniswap-utils, que contêm código malicioso.
O pacote evm-units incluía código para baixar componentes maliciosos, visando roubar criptomoedas. O pacote malicioso foi publicado em abril de 2025 e foi baixado 7.257 vezes. O pacote uniswap-utils também foi baixado em abril, com 7.441 downloads, e utilizava evm-units como dependência. O código malicioso era ativado ao chamar a função get_evm_version() e resultava no download de código externo pelo link 'https://download[.]videotalks[.]xyz/gui/6dad3/...'. No Linux e macOS, um script init era baixado e executado, enquanto no Windows, era o init.ps1.
O pacote sha-rust foi publicado no diretório em 20 de novembro, foi baixado 153 vezes e continha código para buscar e enviar dados confidenciais para um destinatário externo. servidor O pacote finch-rust incluía código original do pacote finch, ao qual foi adicionado um chamado para a função 'sha_rust::from_str()', que ao ser executada acionava um manipulador ofuscado, enviando para o servidor 'https://rust-docs-build[.]vercel[.]app/api/v1' informações sobre o sistema, variáveis de ambiente, bem como o conteúdo de config.toml, id.json e arquivos com a extensão '.env' (por exemplo, production.env, staging.env e dev.env com tokens de acesso).
Em 25 de novembro, também foi publicado no crates.io o pacote finch-rust, que utiliza sha-rust como dependência e foi criado para um ataque de type-squatting contra usuários do pacote legítimo finch, presumindo que o usuário não notaria a diferença no nome ao encontrar o pacote por busca ou selecioná-lo da lista.
Fonte: opennet.ru
