Sicherheitsforscher bei Wiz sagen, dass der Supply-Chain-Angriff auf arrayref — ein Rust-Paket, das in etwa drei Vierteln der Umgebungen mit Rust vorhanden ist — Vergleiche mit jüngeren nordkoreanischen Operationen ausgelöst hat.

Das schädliche Update versteckte eine Hintertür, die Anmeldeinformationen stiehlt, in Code, der automatisch ausgeführt werden sollte, wenn Nutzer Projekte kompilieren. Dadurch könnten alle, die am Donnerstag ein Projekt kompiliert haben, ihren Computer und ihre Geheimnisse offengelegt haben.

Warum Nordkorea für den Hack auf arrayref verantwortlich gemacht wird

Die Wiz-Forscher Rami McCarthy und Benjamin Read haben einen Bericht veröffentlicht, in dem sie darauf hinweisen, dass die arrayref-Payload zu einem Command-and-Control-Pfad, /49890878, Kontakt aufnimmt, der auch in der Mastra-Kampagne auftaucht. Microsoft ordnet die Mastra-Kampagne einer nordkoreanischen Hackergruppe zu, die das Unternehmen Sapphire Sleet nennt, und Microsoft hat diese zuvor als finanziell motivierte Operation beschrieben, die Kryptowährungen über gefälschte Rekrutierungsanreize und andere Social-Engineering-Methoden stiehlt.

Eine solche Infrastruktur-Überschneidung — identische Command-and-Control-Pfade, gemeinsame Sicherheitszertifikate und gemeinsame Hosting-Anbieter — ist ein übliches Mittel, mit dem Forscher separate Kampagnen denselben Akteuren zuordnen, auch wenn dies keine formale staatliche Attribution darstellt.

Die beim arrayref-Angriff verwendete Internetadresse (IP) teilt dasselbe Sicherheitszertifikat wie eine weitere in Mastra verwendete Adresse. Außerdem meldete ein Opfer verdächtige Aktivitäten mit einer IP, die Google Cloud auch beim axios-npm-Angriff gesehen hatte. Mandiant sagt, dass dieser Angriff von einer nordkoreanischen Gruppe namens UNC1069 ausgeführt wurde. Beide Angriffe nutzten denselben Hosting-Anbieter, Hostwinds.

Eine minimale Änderung, die schwer zu erkennen war

Der Angriff war schwer zu erkennen, weil sich nur sehr wenig änderte. Ilyas Makari, ein Sicherheitsforscher von Aikido, stellte fest, dass der eigentliche Code in den drei Rust-Paketen — arrayref, internment und append-only-vec — nicht verändert wurde. Die einzige Änderung war eine einzelne neue Abhängigkeit namens proc-macro1, die zu jeder Paketliste hinzugefügt wurde.

Der Name ist eine Schreibvariante des beliebten Crates proc-macro2, das über 154 Millionen Downloads hat. Das Nachahmen des Namens eines weithin vertrauten Pakets ist eine langjährige Taktik in Open-Source-Registries wie npm und PyPI, in denen Updates ohne manuelle Codeprüfung veröffentlicht werden. Das falsche Crate enthält sogar den echten Code von proc-macro2, sodass die Software weiterhin gebaut wird und alle Tests besteht.

Der schädliche Teil war im Build-Skript verborgen. Cargo führt Build-Skripte beim Kompilieren automatisch aus, sodass laut der Warnung des Rust Security Response Team in seinem Hinweis bereits das bloße Kompilieren eines Projekts, das die bösartige Version zog, ausreichte, um den Angriff auszulösen. Da Cargo exakte Abhängigkeitsversionen in der Cargo.lock jedes Projekts speichert, können Entwickler diese Datei nach proc-macro1 durchsuchen, um zu prüfen, ob ein Build eine kompromittierte Version gezogen hat.

Nach der Ausführung stahl die zweite Stufe des Angriffs gespeicherte Passwörter aus Chrome-, Brave- und Edge-Browsern und installierte sich so, dass sie Neustarts auf Windows, Mac und Linux übersteht.

Der größte Rust-Kompromiss nach Download-Zahlen

Aikido erklärte, dass dies der bislang größte Rust-Crate-Kompromiss sei, den das Unternehmen nach Downloads gesehen habe. arrayref, das in Tools für Solana und Ethereum verwendet wird, kommt auf rund 244 Millionen Downloads insgesamt. Die Exposition soll 86 Minuten lang live gewesen sein, bevor sie entfernt wurde.

Das Team sagte, Nextron Systems habe den ersten Hinweis gegeben. Nach der Entdeckung des Angriffs zog das Team die sauberen Versionen wieder frei und sperrte das Konto des Maintainers. Das Rust-Team sagte, es gehe nicht davon aus, dass der Autor böswillig gehandelt habe, sondern nehme an, dass dessen Rechner oder Zugangsdaten kompromittiert worden seien. Kompromittierte Maintainer-Konten sind eine wiederkehrende Schwachstelle in der Open-Source-Sicherheit: Auch die Hintertür bei XZ Utils aus dem Jahr 2024 ging darauf zurück, dass ein Angreifer eine vertrauenswürdige Maintainer-Rolle erlangte.

Ein breiteres Muster von DPRK-Aktivitäten

Amazon teilte am 29. Juli mit, dass es eine Reihe von Kompromittierungen von npm-Bibliotheken einem einzelnen mit der DVRK verbundenen Akteur zugeordnet habe. TRM Labs berichtete außerdem, dass nordkoreanische Gruppen bis April 2026 für etwa 76% des gesamten Werts von Krypto-Hacks verantwortlich gewesen seien — rund 577 Millionen Dollar.

Der Black-Hat-Forscher Vangelis Stykas sagte, er habe nordkoreanische Hacker in 1,640 Unternehmen in 57 Ländern nachverfolgt. Dabei stellte er fest, dass sie Entwickler häufig mit gefälschten Jobangeboten ködern, die Malware installieren, ähnlich wie die kompromittierte Build-Abhängigkeit in diesem Fall.