crates.io 发现用户上传恶意软件
crates.io 安全团队在 8 月 16 日收到了 Phylum 的报告,称有用户上传了 9 个 typosquat crates,并含有恶意代码。 crates.io 团队立即将这些 crates 下架,并锁定了该用户的账号。在 8 月 18 日,crates.io 团队将这些 crates 从文件存储中完全删除。
这些 crates 包含恶意的 build.rs 文件,该文件会尝试将用户计算机的元数据(包括操作系统、IP 地址和基于 IP 地址的地理位置信息)发送到一个 Telegram 频道。其中一个 crates 的早期版本还包含了 PuTTY 安装程序,build.rs 文件会启动 PuTTY 而不是发送元数据到 Telegram。
crates.io 团队在收到报告后立即采取了以下措施:
下架 crates 并锁定用户账号。 分析了 crates 和用户的操作日志,并决定将 crates 从 static.crates.io 文件存储中完全删除,以防止进一步的攻击。 crates.io 团队没有发现任何证据表明这些 crates 被实际用户下载过。分析了下载请求的用户代理信息,发现只有自动扫描器和镜像服务下载了这些 crates。
该用户在 8 月 18 日前 30 天内没有进行任何其他操作(恶意或非恶意)。
Rust 基金会安全倡议计划对所有 crates 上传进行扫描,包括 typosquatting 和 crates 文件的实际内容。crates.io 团队将与基金会合作,在这些扫描程序准备好后进行部署。
原文链接: https://blog.rust-lang.org/inside-rust/2023/09/01/crates-io-malware-postmorte