Rust Kütüphanesi Üzerinden Gerçekleşen Siber Saldırı: Geliştiricilerin Sistemleri Tehlikede

Son günlerde, Rust programlama dilinde yaygın olarak kullanılan arrayref kütüphanesi, siber saldırganlar tarafından ele geçirilerek kötü amaçlı yazılımın yayıldığı bir saldırıya maruz kaldı. Bu durum, geliştiricilerin sistemlerinde derleme sırasında zararlı yazılımın çalışmasına neden oldu.

Yapılan araştırmalara göre, saldırganlar 23 dakikalık bir zaman diliminde arrayref kütüphanesi ile birlikte append-only-vec ve internment adlı iki diğer kütüphaneyi de zehirleyerek aynı tedarik zinciri saldırısını gerçekleştirdi. arrayref, son 90 gün içinde 53 milyondan fazla indirme alan popüler bir Rust kütüphanesi olarak, kriptografi, grafik ve blok zinciri araçlarında yaygın bir şekilde kullanılmaktadır.

Uygulama güvenliği şirketi StepSecurity'nin raporuna göre, saldırganın yayımladığı kötü amaçlı Rust kütüphaneleri şunlardır: arrayref 0.3.10, append-only-vec 0.1.9 ve internment 0.8.7. Tüm bu kütüphaneler, aynı hesap tarafından yönetilmektedir. Saldırgan, popüler proc-macro2 kütüphanesini taklit eden proc-macro1 adlı bir pakete bağımlılık ekleyerek, üst akış kaynak kodunu tamamen değiştirmeden bıraktı.

Araştırmacılara göre, proc-macro1 içinde yer alan build.rs adlı bir betik, derleme sırasında otomatik olarak çalıştırılıyor. Bu betik, altyapısını base64 kodlu parçacıklardan yeniden inşa ediyor ve ev sahibi işletim sistemine (Linux x86-64, Windows x86-64, macOS x86-64 ve macOS ARM64) uygun bir yük seçiyor.

StepSecurity, saldırganın ayrıca dört farklı kütüphanenin (aovine, arone, aronenao, tinymember) birden fazla versiyonunu yayımladığını ve bu kütüphanelerin crates.io'dan kaldırıldığını belirtiyor. Unix sistemlerinde, kötü amaçlı yazılım /tmp/rust-setup dizinine yazıyor, çalıştırılabilir olarak işaretliyor ve bağımsız bir işlem olarak başlatıyor. Windows sistemlerinde ise %TEMP% ust-setup.ps1 dosyası oluşturuluyor ve sürecin çalışmaya devam etmesi için gizli wscript.exe ve VBS başlatıcıları kullanılıyor.

Saldırının etkileri oldukça büyük. arrayref kütüphanesi, yalnızca 245 milyonun üzerinde toplam indirme sayısına sahipken, append-only-vec ve internment kütüphanelerinin toplamda yaklaşık 19 milyon kurulum sayısı bulunuyor. arrayref kullanan projeler arasında blake3, egui, eframe ve iced gibi Rust GUI çerçeveleri ile Ethereum ve Solana gibi bileşenler yer alıyor.

Saldırı, 20 Ağustos’ta UTC 01:17’de, tanınmış Rust geliştiricisi David Tolnay'ı taklit eden bir GitHub hesabının oluşturulmasıyla başladı. 01:55’te, proc-macro1@1.0.106 adlı masum bir versiyon yayımlandı, ardından 07:11’de 1.0.107 sürümüyle kötü amaçlı bir güncelleme yapıldı. 07:15’te ise arrayref 0.3.10 versiyonu, meşru bir hesap üzerinden yayımlandı ve önceki sürümler kaldırıldı. Olay, 07:54’te bildirildi ve crates.io, 08:03’te proc-macro1’i, 08:41’de ise arrayref 0.3.10’u indeksinden kaldırdı.

Geliştiricilerin, yaklaşık 1.5 saat süresince bu sürümleri yükleyenlerin tehlikeye girdiğini varsayması gerekiyor. Önerilen kontroller arasında Cargo.lock dosyalarını aramak, düşen dosyaları incelemek ve 23.254.165[.]112 adresine 9089 ve 443 numaralı portlardan yapılan trafiği gözden geçirmek yer alıyor. Tehditin doğrulandığı durumlarda, tüm erişilebilir kimlik bilgilerini, CI token'larını, imza anahtarlarını ve diğer gizli bilgileri değiştirmek ve çevreyi güvenli yedeklerden yeniden inşa etmek önerilmektedir. Temiz projelerin, etkilenmiş bağımlılıkların bilinen güvenli bir sürümünü kullanmaları, yöneticinin durumu netleşene kadar beklemeleri açısından önemlidir.