Vulnerabilità · 52 giorni fa
Wiz e StepSecurity hanno ricostruito una supply chain Rust che il 20 agosto ha portato su crates.io tre release avvelenate, poi rimosse in circa 86-107 minuti, e ora attribuite da Wiz a attori nordcoreani. Il punto non è solo la presenza dei crate malevoli: la finestra breve rende probabile che build e job CI abbiano eseguito il backdoor prima della rimozione.
Il trucco stava nel build script di proc-macro1, un typosquat di proc-macro2: durante la compilazione Cargo lo avviava da solo, scaricando ed eseguendo il payload senza che il codice della libreria venisse mai richiamato. In questo modo la compromissione si spostava dalla registry alle macchine che compilavano, con rischio per credenziali del browser, segreti d’ambiente e artefatti di build.
Per chi ha compilato quelle versioni, la prova utile non è più lo stato attuale della registry ma ciò che è passato nei log di build e nei sistemi di rilascio. La stessa esposizione vale per flussi CI che eseguono hook di dipendenza durante la compilazione, anche fuori da Rust.
9 fonti che coprono questa storia
Hackers poison popular Rust crates to steal developers' credentials
Malicious updates turned routine builds into a delivery system for infostealer malware
North Korean Hackers Tied to Rust Supply Chain Attack
Cybersecurity researchers have linked a malicious backdoor in compromised Rust packages to previous North Korean supply chain attacks
Rust Supply Chain Attack Linked to North Korean Hackers
Hackers pushed a poisoned arrayref version that added a dependency to fetch a malicious payload from a remote server.
Backdoored Rust packages hit crates.io, exposing developers to malware at build time
Researchers found significant infrastructure overlap between the attack on three Rust crates and recent North Korea-linked campaigns.
Rust Supply Chain Attack Puts Build-Time Malware in Crates with 245 Million Downloads
Rust deletes malicious releases of three crates after a proc-macro1 build script downloaded and ran a remote payload during compilation.
Rust Supply Chain Attack on arrayref: Significant Overlap with DPRK Campaigns | Wiz Blog
Malicious versions of the arrayref Rust crate (and others) executed a backdoor at compile time.
Popular Rust Crates Compromised in Build-Time Supply Chain Attack
Three compromised Rust crates pulled in a malicious dependency that downloaded and executed cross-platform malware during Cargo builds.
Hackers poison arrayref Rust crate to push infostealer malware
Hackers compromised the maintainer account behind the widely used Rust crate arrayref to introduce malware that executed on developers' systems during compilation.
Rust Crates arrayref & append-only-vec Compromised
Popular Rust crates arrayref and append-only-vec were compromised via a typosquatted proc-macro1 dependency that runs malicious code at build time.
Part of the PlainSec briefing for 2026-08-24