El grupo Sapphire Sleet habría comprometido arrayref, un paquete usado en el 75% de los entornos que corren Rust, con más de 245 millones de descargas. (Fuente: SecurityWeek)
Hackers norcoreanos son responsables de un nuevo ataque a la cadena de suministro de software de código abierto dirigido al ecosistema Rust, según reportó la firma de ciberseguridad Wiz. El ataque ocurrió el 20 de agosto e involucró a arrayref, uno de los paquetes (crates) más populares de Rust, una utilidad de conversión de arreglos con más de 245 millones de descargas, presente en aproximadamente el 75% de los entornos donde se usa este lenguaje.
La versión maliciosa del paquete se publicó en crates.io desde la cuenta de su mantenedor legítimo. Unos 20 minutos después, también se publicaron versiones envenenadas de internment y append-only-vec, otros dos paquetes del mismo propietario. Estos paquetes, junto con crates propiedad del atacante, hacían referencia a una misma dependencia maliciosa que suplantaba al paquete legítimo proc-macro2. Dentro de esa dependencia, el atacante escondió un archivo llamado build.rs, diseñado para buscar un binario malicioso de segunda etapa, específico según la plataforma, después de desactivar la validación de certificados.
El equipo de respuesta de seguridad de Rust eliminó los paquetes maliciosos unos 86 minutos después, confirmando el compromiso: se había publicado una nueva versión de arrayref con una dependencia directa a un paquete falso, que ejecutaría un script de compilación malicioso. Poco después, el equipo de seguridad de Rust confirmó que todos los paquetes maliciosos ya fueron eliminados y las versiones limpias restauradas, sin encontrar evidencia de uso real de los paquetes comprometidos. Según el equipo, no creen que el autor original de arrayref haya actuado de forma maliciosa, sino que su computadora o sus credenciales probablemente estén comprometidas, y están intentando contactarlo.
Un análisis de la firma StepSecurity mostró que el atacante planificó cada paso con precisión, creando versiones con errores tipográficos de proc-macro2 y una cuenta que suplantaba identidad justo antes de publicar la versión envenenada de arrayref. Según Wiz, el actor de amenazas norcoreano conocido como Sapphire Sleet —responsable de los ataques a la cadena de suministro de NPM contra Axios y Mastra en abril y junio— sería el responsable más probable del incidente con arrayref, según una importante superposición de infraestructura: las cargas útiles de arrayref se comunican con un endpoint usado en el ataque a Axios, y se registró tráfico de comando y control hacia una dirección IP usada en la campaña de Mastra, dentro del mismo rango de infraestructura de Hostwinds LLC utilizado en los tres incidentes.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.
Descubre más desde
Suscríbete y recibe las últimas entradas en tu correo electrónico.