Des chercheurs en sécurité chez Wiz affirment que l’attaque de la chaîne d’approvisionnement qui a empoisonné arrayref — un paquet Rust présent dans environ trois quarts des environnements exécutant Rust — a été comparée à de récentes opérations nord-coréennes.

La mise à jour malveillante dissimulait une porte dérobée qui vole des informations de connexion dans du code conçu pour s’exécuter automatiquement lorsque les utilisateurs compilent des projets. Par conséquent, toute personne ayant compilé un projet jeudi a peut-être exposé son ordinateur et ses secrets.

Pourquoi la Corée du Nord est-elle accusée ?

Les chercheurs de Wiz, Rami McCarthy et Benjamin Read, ont publié un rapport indiquant que la charge utile d’arrayref communique avec un chemin de commande et de contrôle, /49890878, qui apparaît également dans la campagne Mastra. Microsoft relie la campagne Mastra à un groupe de piratage nord-coréen qu’il appelle Sapphire Sleet, que Microsoft a déjà décrit comme une opération motivée financièrement qui vole des cryptomonnaies à l’aide de faux recrutements et d’autres techniques d’ingénierie sociale.

Ce type de recoupement d’infrastructure — chemins de commande et de contrôle identiques, certificats de sécurité partagés et fournisseurs d’hébergement communs — est une méthode standard utilisée par les chercheurs pour relier des campagnes distinctes aux mêmes opérateurs, même si cela reste en deçà d’une attribution gouvernementale formelle.

L’adresse internet (IP) utilisée dans l’attaque arrayref partage le même certificat de sécurité qu’une autre adresse utilisée dans Mastra. En outre, une victime ayant signalé une activité suspecte a identifié une IP que Google Cloud a observée dans l’attaque npm axios. Mandiant indique que cette attaque a été menée par un groupe nord-coréen appelé UNC1069. Les deux attaques utilisaient le même hébergeur, Hostwinds.

Une modification minime et difficile à repérer

L’attaque était difficile à détecter parce qu’elle changeait très peu de choses. Ilyas Makari, chercheur en sécurité chez Aikido, a constaté que le code réel à l’intérieur des trois paquets Rust — arrayref, internment et append-only-vec — n’avait pas été modifié. Le seul changement consistait en une nouvelle dépendance, appelée proc-macro1, ajoutée à la liste de chaque paquet.

Ce nom est une faute d’orthographe de la populaire crate proc-macro2, qui dépasse 154 millions de téléchargements. L’imitation du nom d’un paquet largement digne de confiance est une technique de longue date dans les registres open source comme npm et PyPI, où les mises à jour sont publiées sans examen manuel du code. La fausse crate inclut même le vrai code de proc-macro2, de sorte que le logiciel se compile toujours et passe tous les tests.

La partie malveillante était cachée dans le script de build.

Cargo exécute automatiquement les scripts de build au moment de la compilation ; ainsi, comme l’a précisé le Rust Security Response Team dans son avis, le simple fait de compiler un projet ayant récupéré la mauvaise version suffisait à déclencher l’attaque. Une fois exécutée, la deuxième phase de l’attaque volait les mots de passe enregistrés dans les navigateurs Chrome, Brave et Edge, puis s’installait afin de survivre aux redémarrages sur Windows, Mac et Linux.

La plus grande compromission Rust par volume de téléchargements

Aikido a indiqué que cette attaque est la plus grande compromission de crate Rust qu’elle ait observée, mesurée en téléchargements. arrayref, utilisé dans des outils pour Solana et Ethereum, totalise environ 244 millions de téléchargements. L’exposition est restée en ligne 86 minutes avant suppression.

L’équipe a déclaré que Nextron Systems avait effectué le signalement initial. Une fois l’attaque découverte, l’équipe a rétabli les versions saines et verrouillé le compte du mainteneur.

L’équipe Rust a déclaré ne pas croire que l’auteur ait agi de manière malveillante, estimant plutôt que sa machine ou ses identifiants avaient été compromis.

À noter qu’Amazon a révélé le 29 juillet avoir relié une série de compromissions de bibliothèques npm à un seul acteur lié à la RPDC. TRM Labs a également indiqué que les groupes nord-coréens représentaient environ 76 % de la valeur totale des piratages crypto en 2026 jusqu’en avril, soit environ 577 millions de dollars.

Le chercheur de Black Hat Vangelis Stykas a déclaré avoir suivi des hackers nord-coréens au sein de 1 640 entreprises réparties dans 57 pays. Il a constaté qu’ils appâtaient souvent les développeurs avec de fausses offres d’emploi installant des logiciels malveillants, de manière similaire à la dépendance de build empoisonnée dans ce cas.

Ne vous contentez pas de lire l’actualité crypto. Comprenez-la. Abonnez-vous à notre newsletter. C’est gratuit.