Compilare quei crate poteva già eseguire il payload
Per chi compila progetti Rust, il punto non è solo che i crate malevoli siano stati rimossi in fretta: il rischio è che qualsiasi build passata nella finestra del 20 agosto abbia già eseguito il payload, anche senza importare il pacchetto a runtime. RustSec dice di non aver trovato prove di uso, ma la catena di compromissione resta valida per ogni ambiente che abbia toccato arrayref, internment o append-only-vec in quel periodo.
Semgrep, Wiz e Socket riportano che le release malevole di arrayref, internment e append-only-vec avevano aggiunto proc-macro1, un typosquat di proc-macro2. Cargo esegue automaticamente il build script della dependency durante la compilazione, quindi il codice partiva mentre il progetto veniva costruito, non quando veniva usato. Le fonti aggiungono che l’infrastruttura osservata si sovrappone a precedenti campagne supply chain attribuite alla Corea del Nord, segno di una tecnica ripetibile più che di un errore isolato.
Per i team che usano Cargo, il confine di fiducia non è il binario finale ma il processo di build e la workstation o CI che lo esegue. Anche dopo la rimozione delle release, un artefatto compilato in quella finestra non dice nulla su ciò che è stato già eseguito durante la compilazione, né sulle credenziali o sui segreti che quella macchina può aver esposto.