Rust クレート arrayref のメンテナ・アカウントで侵害が発生：情報窃取型マルウェアが展開された

Hackers poison arrayref Rust crate to push infostealer malware

2026/08/20 BleepingComputer — 広く利用される Rust クレート arrayref のメンテナ・アカウントを侵害した攻撃者が、開発者のシステム上でコンパイル時に実行されるマルウェアを仕込んだ。同じサプライ・チェーン攻撃の一環として、append-only-vec／internment という 2 つのクレートも 23 分の間に汚染された。arrayref クレートは、暗号技術／グラフィック／ブロックチェーン・ツールで使用される人気の Rust ライブラリであり、過去 90 日間で 5,300 万回もダウンロードされている。

アプリケーション・セキュリティ企業 StepSecurity の報告によると、悪意ある Rust クレートのリリースは arrayref 0.3.10／append-only-vec 0.1.9／internment 0.8.7 で、すべて同じアカウントにより管理されていた。

この攻撃者は、上流のソース・コードをほぼ変更せずに、人気の proc-macro2 クレートを偽装したタイポ・スクワッティング・パッケージ proc-macro1 への依存関係を追加した。研究者によると、proc-macro1 に含まれる build.rs というスクリプトはコンパイル時に自動実行され、Base64 でエンコードされた断片から攻撃基盤を再構築したうえで、ホストのオペレーティング・システム (Linux x86-64／Windows x86-64／macOS x86-64／macOS ARM64) に一致するペイロードを選択する。

StepSecurity によると、攻撃者は aovine／arone／aronenao／tinymember という 4 つのクレートについても複数のバージョンを公開していたが、それらは crates.io から削除されている。

Unix システムでは、マルウェアが “/tmp/rust-setup” にファイルを書き込み、実行権限を付与したうえで切り離されたプロセスとして起動する一方、Windows では “%TEMP%\rust-setup.ps1” を作成し、非表示の wscript.exe／VBS 起動スクリプトを使用してプロセスの実行を継続させる。これらのペイロードは引数としてコマンド・アンド・コントロール (C2) とみられるアドレスを受け取り、クラウド・セキュリティ企業 Wiz の分析によると、第 2 段階ではホスト情報／認証情報を外部に流出させる機能も備えている。

Wiz の研究者によると、このマルウェアは Google Chrome／Brave／Edge のブラウザにある SQLite のログイン・データベースを照会して認証情報を収集するほか、Windows ではレジストリの Run キー、macOS では LaunchAgent、Linux では systemd を悪用して永続化する。

タイムラインと影響

このサプライ・チェーン攻撃による潜在的な影響は大きく、arrayref だけでも累計ダウンロード数が 2 億 4,500 万回を超えているほか、append-only-vec／internment を合わせたインストール数も約 1,900 万件に達する。arrayref を使用するプロジェクトには、blake3、egui／eframe／iced などの Rust の GUI フレームワークや、Ethereum／Solana で使用されるコンポーネントが含まれる。

8月20日 01:17 (UTC) に開始された攻撃では、著名な Rust 開発者 David Tolnay を偽装した GitHub アカウントが作成され、その後 crates.io レジストリにも類似のアカウントが作成された。続いて 01:55 に、攻撃者は proc-macro2 の無害なコピーである proc-macro1@1.0.106 を公開し、07:11 には公開されたバージョン 1.0.107 を通じて悪意あるアップデートを実施した。

その後の 07:15 には、正規の droundy (David Roundy) アカウントから arrayref 0.3.10 が公開された一方、バージョン 0.3.5〜0.3.9 は削除されており、悪意あるリリースを強制的にインストールさせる目的があったとみられる。このインシデントは 07:54 に報告され、crates.io は 08:03 に proc-macro1 を削除し、08:41 にはインデックスから arrayref 0.3.10 を削除した。

サイバー・セキュリティ企業 StepSecurity／SafeDep／Aikido は、このサプライ・チェーン攻撃に関する技術分析を公開し、侵害指標を共有している。Wiz の研究者は、「このキャンペーンのインフラは、最近の北朝鮮による Mastra／axios によるサプライ・チェーン攻撃と共通点がある」と指摘している。

悪意あるバージョンが公開されていた約 1.5 時間の間に、いずれかのクレートをインストールした開発者は、侵害されたものと見なすべきである。推奨される確認項目には、Cargo.lock ファイルの検索／ドロップされたファイルの確認／ポート 9089 と 443 を使用する 23.254.165[.]112 への通信の確認が含まれる。

侵害が確認された場合に推奨されるのは、アクセスが可能なすべての認証情報／CI トークン／署名キー／その他の秘密情報をローテーションし、安全なバックアップから環境を再構築することである。侵害されていないプロジェクトでは、メンテナによる対応状況が明確になり、問題が解決されるまで、影響を受ける依存関係を既知の安全なバージョンに固定すべきである。

人気の Rust ライブラリである arrayref などにおいて、管理者権限が第三者に奪取されました。攻撃者は不正なパッケージを悪意の依存関係に挿入し、ビルド処理を利用して端末にマルウェアを設置しました。このインシデントにより、システム上の秘密鍵やブラウザに保管された秘密情報が窃取される恐れや、バックドアが確立されるリスクが生じます。8月20日の該当する時間帯にライブラリを取り込んだユーザーに求められるのは、ロックファイルの点検／生成された不審なファイルの除去／各種認証キーの切り替え／安全なバックアップからのシステム再構築などの処置です。未被害のプロジェクトであれば、安全性が確認されている旧バージョンへの固定化が推奨されます。