In einer gezielten Attacke auf die Software-Lieferkette der Programmiersprache Rust haben Angreifer mehrere zentrale Programmbibliotheken kompromittiert. Durch den Diebstahl von Zugangsdaten eines Paketbetreuers gelang es den Akteuren, bösartigen Code in die weit verbreitete Crate „arrayref“ sowie zwei weitere Pakete einzuschleusen. Der Vorfall unterstreicht die anhaltenden Sicherheitsrisiken innerhalb von Open-Source-Repositorys.
Die manipulierte Version 0.3.10 der Bibliothek „arrayref“ war für eine Dauer von 86 Minuten auf der zentralen Plattform crates.io verfügbar, bevor sie gelöscht und das betroffene Konto gesperrt wurde. Trotz der kurzen Zeitspanne ist die potenzielle Reichweite des Angriffs massiv: Die Crate verzeichnet insgesamt 245 Mio. Downloads.
Marktbeobachter schätzen, dass bis zu 75% der Rust-Umgebungen von dem Vorfall betroffen sein könnten. Neben „arrayref“ wurden auch bösartige Versionen der Pakete „internment“ (Version 0.8.7, 90 Min. online) und „append-only-vec“ (Version 0.1.9, 107 Min. online) veröffentlicht. Letzteres kommt auf rund 4 Mio. Downloads.
Technische Details der Infektionskette
Der Angriffsmechanismus setzt bereits während des Kompiliervorgangs an. Die bösartige Version von „arrayref“ enthält eine Abhängigkeit zu einem sogenannten Typosquat-Paket mit dem Namen „proc-macro1“. In diesem Paket befindet sich eine Skriptdatei namens build.rs, die automatisch ausgeführt wird, sobald ein Entwickler das Projekt baut.
Angriffe auf die Software-Lieferkette zeigen, wie schnell Unternehmen heute Opfer von Cyberkriminalität werden können. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Ihre IT-Sicherheit auch ohne hohe Investitionen proaktiv stärken. IT-Sicherheits-Leitfaden jetzt kostenlos herunterladen
Dieses Skript ist darauf programmiert, einen Payload von der IP-Adresse 23.254.165[.]112:9089 nachzuladen. Um Entdeckung zu vermeiden, rekonstruiert die Software die Ziel-URL für den Kommandoserver aus einer Base64-kodierten Zeichenfolge und deaktiviert explizit die TLS-Validierung für die Netzwerkverbindung. Anschließend wird ein für das jeweilige Betriebssystem spezifischer Payload heruntergeladen und ausgeführt.
Zielsetzung der Schadsoftware und Persistenz
Die Analyse der Backdoor ergab, dass die Angreifer es primär auf sensible Nutzerdaten abgesehen haben. Die Schadsoftware ist in der Lage, Zugangsdaten aus den Browsern Chrome, Brave und Edge zu entwenden. Darüber hinaus zielt der Programmcode auf die Extraktion von Daten aus Krypto-Wallets ab.
In einer zweiten Stufe der Infektion werden detaillierte Host-Informationen sowie gespeicherte Browser-Logins exfiltriert. Um dauerhaft auf den infizierten Systemen präsent zu bleiben, nutzt die Malware verschiedene Persistenzmechanismen: Unter Windows erfolgt dies über die Registry, auf macOS-Systemen über LaunchAgents und unter Linux mittels systemd-Units.
Da Cyberkriminelle immer häufiger auf die Exfiltration sensibler Zugangsdaten setzen, ist ein ganzheitlicher Schutzmechanismus für Betriebe unerlässlich. Erfahren Sie in diesem Gratis-Report, welche neuen gesetzlichen Anforderungen auf Unternehmer zukommen und wie Sie Sicherheitslücken effektiv schließen. Kostenloses E-Book zu Cyber Security Trends sichern
Zuordnung und empfohlene Sicherheitsmaßnahmen
Sicherheitsunternehmen wie Wiz, Mandiant und Microsoft bringen den Angriff mit nordkoreanischen Bedrohungsakteuren in Verbindung. Aufgrund von Überschneidungen in der genutzten Infrastruktur wird die Aktion den Gruppen Sapphire Sleet beziehungsweise UNC1069 zugeschrieben. Der Vorfall stehe demnach im Kontext der bekannten Kampagnen Mastra und Axios.
IT-Sicherheitsexperten raten Entwicklern dringend dazu, ihre Cargo.lock-Dateien auf die betroffenen Versionen zu prüfen. Systeme, auf denen die kompromittierten Pakete kompiliert wurden, sollten als vollständig kompromittiert behandelt werden. Dies umfasst insbesondere die Rotation sämtlicher genutzter Zugangsdaten. Ein besonderes Augenmerk gilt dabei CI/CD-Systemen, die aufgrund ihrer automatisierten Abläufe besonders gefährdet sind.
Der Vorfall hat zudem eine Bdrebatte über die Sicherheitsarchitektur von crates.io ausgelöst. Kritiker bemängeln, dass gelöschte Paketversionen auf der Plattform nicht ausreichend gekennzeichnet werden und automatisierte Sicherheitswarnungen fehlen. Derzeit werden verschiedene Vorschläge diskutiert, um den Umgang mit kompromittierten Paketen in Zukunft transparenter und sicherer zu gestalten.
