Compilare bastava per eseguire il backdoor nei crate Rust
Wiz e StepSecurity hanno ricostruito una supply chain Rust che il 20 agosto ha portato su crates.io tre release avvelenate, poi rimosse in circa 86-107 minuti, e ora attribuite da Wiz a attori nordcoreani. Il punto non è solo la presenza dei crate malevoli: la finestra breve rende probabile che build e job CI abbiano eseguito il backdoor prima della rimozione.
Il trucco stava nel build script di proc-macro1, un typosquat di proc-macro2: durante la compilazione Cargo lo avviava da solo, scaricando ed eseguendo il payload senza che il codice della libreria venisse mai richiamato. In questo modo la compromissione si spostava dalla registry alle macchine che compilavano, con rischio per credenziali del browser, segreti d’ambiente e artefatti di build.
Per chi ha compilato quelle versioni, la prova utile non è più lo stato attuale della registry ma ciò che è passato nei log di build e nei sistemi di rilascio. La stessa esposizione vale per flussi CI che eseguono hook di dipendenza durante la compilazione, anche fuori da Rust.