Wiz mengatakan serangan pada rantai pasokan yang menginfeksi arrayref, sebuah paket Rust yang ada di sekitar tiga perempat lingkungan yang menjalankan Rust, memicu perbandingan dengan operasi-operasi terbaru Korea Utara.
Pembaruan berbahaya menyembunyikan backdoor yang mencuri kredensial di dalam kode yang dirancang untukmatic memulai saat proyek dikompilasi oleh pengguna. Dengan demikian, siapa pun yang mengompilasi proyek pada hari Kamis mungkin telah membahayakan komputer dan rahasia mereka.
Mengapa Korea Utara Dituduh Meretas ArrayRef?
Peneliti Wiz Rami McCarthy dan Benjaminenj mempublikasikan laporan, yang mencatat bahwa payload arrayref mengarahkan sinyal ke saluran kontrol /49890878, yang juga muncul dalam kampanye Mastra.
Microsoft mengaitkan kampanye Mastra dengan grup peretas Korea Utara yang mereka sebut Sapphire Sleet.
Alamat internet (IP) yang digunakan dalam serangan arrayref memiliki sertifikat keamanan yang sama dengan alamat lain yang digunakan dalam Mastra. Selain itu, korban yang melaporkan aktivitas mencurigakan mencatat alamat IP yang Google Cloud deteksi dalam serangan npm axios.
Perusahaan Mandiant menyatakan serangan dilakukan oleh grup Korea Utara bernama UNC1069. Kedua serangan menggunakan perusahaan hosting yang sama, Hostwinds.
Serangan ini sulit dikenali karena praktis tidak mengubah apa pun. Ilya Makari, peneliti keamanan dari Aikido, menemukan bahwa kode itu sendiri di dalam tiga paket Rust — arrayref, internment, dan append-only-vec — tidak diubah. Satu-satunya perubahan adalah penambahan satu dependensi baru ke daftar setiap paket bernama proc-macro1.
Nama ini merupakan kesalahan eja dari krate populer proc-macro2, yang telah diunduh lebih dari 154 juta kali. Krate palsu itu bahkan mencakup kode asli proc-macro2, sehingga perangkat lunak tetap terkompilasi dan melewati semua pengujian.
Bagian berbahaya tersembunyi di dalam skrip build.
Tim respons ancaman keamanan Rust menjelaskan, hanya dengan mengompilasi proyek yang menggunakan versi yang salah sudah cukup untuk memicu serangan.
Setelah dijalankan, tahap kedua serangan mencuri kata sandi yang disimpan dari browser Chrome, Brave, dan Edge dan menginstal dirinya sedemikian rupa untuk bertahan setelah restart komputer yang menjalankan Windows, Mac, dan Linux.
Kasus Kompromi Terbesar Rust Berdasarkan Unduhan
Aikido menyatakan serangan ini adalah peretasan krate Rust terbesar yang pernah mereka tangani berdasarkan jumlah unduhan: arrayref, digunakan dalam alat untuk Solana dan Ethereum, telah diunduh sekitar 244 juta kali. Kerentanan tersebut dilaporkan bertahan selama 86 menit sebelum dihapus.
Tim melaporkan bahwa laporan awal berasal dari perusahaan tron Systems. Setelah mendeteksi serangan, tim menghapus versi bersih dan memblokir akun pengembang.
Tim pengembang Rust menyatakan bahwa mereka tidak menganggap tindakan penulis berniat jahat, percaya bahwa komputernya atau dentitas datanya telah disusupi.
Patut dicatat, Amazon melaporkan hubungan antara sejumlah peretasan pustaka npm dengan satu aktor yang dikaitkan dengan DPRK. TRM Labs juga melaporkan bahwa kelompok Korea Utara menyumbang sekitar 76% dari total nilai peretasan kripto antara April 2026 (sekitar $577 juta).
Peneliti Black Hat Vangelis Stykas menyatakan trac peretas Korea Utara telah menyusupi 1.640 perusahaan di 57 negara. Dia menemukan mereka sering memancing pengembang dengan tawaran pekerjaan palsu yang menginstal malware, seperti dependensi build beracun dalam kasus ini.
end-content
