Vývojári jazyka Rust varovali pred odhalením balíka rustdecimal s malvérom v repozitári crates.io. Balík bol založený na legitímnom balíku rust_decimal a využíval podobnosti v názve (typový skript) s predpokladom, že si používateľ nevšimne chýbajúci podtržník pri vyhľadávaní alebo výbere modulu zo zoznamu.
Zaujímavé je, že uvedená stratégia bola úspešná a podľa počtu stiahnutí falošný balík len mierne zaostával za pôvodným (~111 tisíc stiahnutí rustdecimal 1.23.1 a 113 tisíc pôvodného rust_decimal 1.23.1). Väčšina stiahnutí sa pritom týkala neškodnej kópie, ktorá neobsahovala malvér. Malvérové zmeny boli pridané 25. marca vo verzii rustdecimal 1.23.5, ktorá bola pred odhalením problému a zablokovaním balíka stiahnutá približne 500-krát (predpokladá sa, že väčšina stiahnutí malvér verzie bola vykonaná botmi) a nebola použitá v závislostiach iných balíkov prítomných v repozitári (nie je vylúčené, že malvérový balík bol v závislostiach koncových aplikácií).
Malvérové zmeny spočívali v pridání novej funkcie Decimal::new, ktorého implementácia obsahovala obfuskovaný kód na načítanie z externého servera a spustenie spustiteľného súboru. Pri zavolaní funkcie sa vykonala kontrola premennej prostredia GITLAB_CI, v prípade nastavenia ktorej sa z externého servera načítal súbor /tmp/git-updater.bin. Načítaný malvérový modul podporoval prácu v Linuxe a macOS (platforma Windows nebola podporovaná).
Predpokladalo sa, že malvérová funkcia bude vykonaná počas testovania na systémoch kontinuálnej integrácie. Po zablokovaní rustdecimal administrátori crates.io vykonali analýzu obsahu repozitára na prítomnosť podobných malvérových vložiek, ale nenašli žiadne problémy v iných balíkoch. Majiteľom systémov kontinuálnej integrácie založených na platforme GitLab sa odporúča uistiť sa, že testované serveroch projekty nepoužívali v závislostiach balík rustdecimal.
Zdroj: opennet.ru
