Wiz 的安全研究人员表示，这起污染了 arrayref——一个存在于约四分之三运行 Rust 的环境中的 Rust 软件包——的供应链攻击，已让人联想到朝鲜近期的攻击行动。

这次恶意更新将一个窃取登录信息的后门隐藏在代码中，该代码被设计为在用户编译项目时自动运行。因此，任何在周四编译过项目的人，其计算机和机密信息都可能已经暴露。

为何矛头指向朝鲜

Wiz 研究人员 Rami McCarthy 和 Benjamin Read 发布的报告指出，arrayref 载荷会向一个命令与控制路径 /49890878 发送信标，而该路径同样出现在 Mastra 攻击活动中。微软将 Mastra 攻击活动与其称为 Sapphire Sleet 的朝鲜黑客组织联系起来，并曾将该组织描述为以牟利为目的、通过虚假招聘诱饵和其他社会工程手段窃取加密货币的行动。

这类基础设施重叠——匹配的命令与控制路径、共享的安全证书以及相同的托管服务提供商——是研究人员将不同攻击活动关联至同一操作者的常用方法，但这尚不足以构成正式的政府层面归因。

arrayref 攻击中使用的互联网地址（IP）与 Mastra 攻击活动中使用的另一个地址共享同一张安全证书。此外，一名报告可疑活动的受害者标记了一个 Google Cloud 在 axios npm 攻击中也发现过的 IP。Mandiant 表示，该攻击由名为 UNC1069 的朝鲜组织实施。两起攻击使用了同一家托管公司 Hostwinds。

难以察觉的微小改动

这起攻击之所以难以察觉，是因为其改动极小。Aikido 的安全研究人员 Ilyas Makari 发现，三个 Rust 软件包——arrayref、internment 和 append-only-vec——内部的实际代码并未被篡改。唯一的改动是在每个软件包的依赖列表中新增了一个名为 proc-macro1 的依赖项。

该名称是对热门 crate proc-macro2 的仿冒拼写，后者的下载量已超过 1.54 亿次。仿冒广受信任软件包的名称是 npm 和 PyPI 等开源注册库中的惯用手法，因为这些平台上的更新发布无需人工代码审查。这个伪造的 crate 甚至包含真正的 proc-macro2 代码，因此软件仍可正常构建并通过所有测试。

恶意部分被隐藏在构建脚本中。Cargo 会在编译时自动运行构建脚本，因此正如 Rust 安全响应团队在其安全通告中所阐述的，仅仅编译一个拉取了恶意版本的项目就足以触发攻击。由于 Cargo 会在每个项目的 Cargo.lock 文件中记录依赖项的精确版本，开发者可以在该文件中搜索 proc-macro1，以检查某次构建是否拉取了受污染的版本。

一旦开始运行，攻击的第二阶段便会窃取 Chrome、Brave 和 Edge 浏览器中保存的密码，并自行安装以确保在 Windows、Mac 和 Linux 系统重启后仍能存活。

按下载量计算的最大 Rust 入侵事件

Aikido 表示，按下载量衡量，这是其所见过的最大一起 Rust crate 入侵事件。arrayref 用于 Solana 和 Ethereum 相关工具，总下载量约为 2.44 亿次。据报道，该恶意版本在被删除前存在了 86 分钟。

该团队表示，最初的报告由 Nextron Systems 提出。攻击被发现后，团队恢复了干净版本的可用状态，并锁定了维护者的账户。Rust 团队表示，他们认为作者并非蓄意作恶，而是评估认为其计算机或凭据已遭入侵。维护者账户被入侵是开源安全中长期存在的薄弱环节：例如，2024 年的 XZ Utils 后门事件同样源于攻击者获得了受信任的维护者身份。

朝鲜相关活动的更广泛模式

Amazon 于 7 月 29 日披露，其已将一系列 npm 库入侵事件关联至同一个与朝鲜有关的行为者。TRM Labs 也报告称，2026 年截至 4 月，朝鲜组织约占所有加密货币黑客攻击总价值的 76%——约 5.77 亿美元。

Black Hat 研究人员 Vangelis Stykas 表示，他追踪到朝鲜黑客渗透了 57 个国家的 1,640 家公司。他发现，这些黑客经常以会安装恶意软件的虚假工作机会诱骗开发者，这与本案中被投毒的构建依赖手法类似。