Vývojári jazyka Rust upozornili na nájdenie balíkov finch-rust, sha-rust, evm-units a uniswap-utils v repozitári crates.io, ktoré obsahovali škodlivý kód.
Balík evm-units obsahoval kód na sťahovanie škodlivých komponentov zameraných na krádež kryptomeny. Škodlivý balík bol umiestnený v apríli 2025 a bol stiahnutý 7257-krát. Balík uniswap-utils bol taktiež stiahnutý v apríli, bol stiahnutý 7441-krát a používal evm-units ako závislosť. Škodlivý kód sa aktivoval pri volaní funkcie get_evm_version() a viedol k sťahovaniu externého kódu cez odkaz "https://download[.]videotalks[.]xyz/gui/6dad3/...". V Linuxe a macOS sa sťahoval a spúšťal skript init, zatiaľ čo vo Windows sa spúšťal init.ps1.
Balík sha-rust bol umiestnený v adresári 20. novembra, bol stiahnutý 153-krát a obsahoval kód na vyhľadávanie a odosielanie externých server dát o súkromí. Balík finch-rust obsahoval pôvodný kód z balíka finch, do ktorého bola pridaná funkcia "sha_rust::from_str()", pri vykonaní ktorej sa spúšťal obfuskovaný spracovateľ, odosielajúci na server "https://rust-docs-build[.]vercel[.]app/api/v1" informácie o systéme, premenné prostredia, ako aj obsah config.toml, id.json a súborov s príponou ".env" (napríklad production.env, staging.env a dev.env s prístupovými tokenmi).
25. novembra bol v crates.io taktiež umiestnený balík finch-rust, ktorý využíval sha-rust ako závislosť a bol vytvorený na typcovú útok na používateľov legitímneho balíka finch, pričom predpokladal, že používateľ si nevšimne odlišnosť v názve, keďže vyhľadá balík alebo si ho vyberie zo zoznamu.
Zdroj: opennet.ru
