Ερευνητές κυβερνοασφάλειας ανακάλυψαν δύο κακόβουλα Rust crates που προσποιούνται ότι είναι μια νόμιμη βιβλιοθήκη με την ονομασία fast_log, με σκοπό να κλέψουν κλειδιά πορτοφολιών Solana και Ethereum από τον πηγαίο κώδικα.
Δείτε επίσης: Κακόβουλα πακέτα npm εκμεταλλεύονται Ethereum smart contracts
Τα crates, με ονόματα faster_log και async_println, δημοσιεύθηκαν από τον κακόβουλο χρήστη με τα ψευδώνυμα rustguruman και dumbnbased στις 25 Μαΐου 2025, συγκεντρώνοντας συνολικά 8,424 λήψεις, σύμφωνα με την εταιρεία ασφάλειας εφοδιαστικής αλυσίδας λογισμικού Socket.
“Τα Rust crates περιλαμβάνουν λειτουργικό κώδικα καταγραφής για κάλυψη και ενσωματώνουν ρουτίνες που σαρώνουν αρχεία πηγαίου κώδικα για ιδιωτικά κλειδιά Solana και Ethereum και στη συνέχεια εξάγουν τα αποτελέσματα μέσω HTTP POST σε ένα προκαθορισμένο σημείο ελέγχου και ελέγχου (C2)“, δήλωσε ο ερευνητής ασφάλειας Kirill Boychenko.
Μετά από υπεύθυνη αποκάλυψη, οι διαχειριστές του crates.io έλαβαν μέτρα για να αφαιρέσουν τα πακέτα Rust και να απενεργοποιήσουν τους δύο λογαριασμούς. Επίσης, διατήρησαν αρχεία καταγραφής των χρηστών που λειτουργούσαν από τον κακόβουλο χρήστη μαζί με τα κακόβουλα Rust crates για περαιτέρω ανάλυση.
Δείτε ακόμα: ΗΠΑ: Κατηγορίες εναντίον 12 ατόμων για crypto απάτη
“Ο κακόβουλος κώδικας εκτελέστηκε κατά την εκτέλεση ή τη δοκιμή ενός έργου που εξαρτάται από αυτά“, δήλωσε ο Walter Pearce από το Crates.io. “Σημαντικό είναι ότι δεν εκτέλεσαν κανέναν κακόβουλο κώδικα κατά τη διάρκεια της κατασκευής. Εκτός από το κακόβουλο φορτίο τους, αυτά τα crates αντέγραψαν τον πηγαίο κώδικα, τις δυνατότητες και την τεκμηρίωση των νόμιμων crates, χρησιμοποιώντας ένα παρόμοιο όνομα με αυτά.“
Η επίθεση typosquatting, όπως περιγράφεται από την Socket, περιλάμβανε τους κακόβουλους χρήστες να διατηρούν τη λειτουργία καταγραφής της πραγματικής βιβλιοθήκης, ενώ εισήγαγαν κακόβουλες αλλαγές κώδικα κατά τη διάρκεια μιας λειτουργίας συσκευασίας καταγραφής που αναζητούσε αναδρομικά αρχεία Rust (*.rs) σε έναν κατάλογο για ιδιωτικά κλειδιά Ethereum και Solana και πίνακες byte και τα εξήγαγαν σε έναν τομέα Cloudflare Workers (“mainnet.solana-rpc-pool.workers[.]dev”).
Εκτός από την αντιγραφή του README του fast_log και τη ρύθμιση του πεδίου αποθετηρίου των ψευδών Rust crates στο πραγματικό έργο GitHub, η χρήση του “mainnet.solana-rpc-pool.workers[.]dev” είναι μια προσπάθεια να μιμηθεί το Mainnet beta RPC endpoint της Solana “api.mainnet-beta.solana[.]com.“
Δείτε επίσης: Η Coinbase διορθώνει καταχώριση δραστηριότητας λογαριασμού 2FA
Σύμφωνα με το crates.io, τα δύο crates δεν είχαν εξαρτώμενα downstream crates, ούτε οι χρήστες δημοσίευσαν άλλα crates στο μητρώο πακέτων Rust. Οι λογαριασμοί GitHub που συνδέονται με τους λογαριασμούς εκδοτών του crates.io παραμένουν προσβάσιμοι μέχρι στιγμής. Ενώ ο λογαριασμός GitHub dumbnbased δημιουργήθηκε στις 27 Μαΐου 2023, το rustguruman δεν υπήρχε μέχρι τις 25 Μαΐου 2025.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
