Compromiso de la cadena de suministro de Rust a través de crates.io: Versiones maliciosas de 'arrayref' e 'internment' inyectan malware en tiempo de compilación

Este incidente representa un ataque sofisticado a la cadena de suministro de software en el ecosistema Rust, explotando múltiples vectores. La causa raíz fue el compromiso de la cuenta de un mantenedor de crates populares ('droundy'), lo que permitió la publicación de versiones maliciosas de 'arrayref', 'internment' y 'append-only-vec'. Estas versiones inyectaron una dependencia a un crate typosquatted ('proc-macro1') que imitaba a 'proc-macro2', un componente legítimo y ampliamente utilizado.

La cascada de fallo se inició cuando el atacante manipuló el sistema de versiones de crates.io, retirando las versiones limpias anteriores de 'arrayref'. Esto forzó a los desarrolladores a adoptar la versión maliciosa (0.3.10) cuando actualizaban sus dependencias o resolvían conflictos. La naturaleza del ataque en tiempo de compilación, donde el código malicioso residía en el 'build script' de 'proc-macro1', significó que simplemente compilar un proyecto que dependía de las versiones comprometidas era suficiente para activar la carga útil, sin necesidad de ejecutar el código de la aplicación resultante. La carga útil utilizaba técnicas de ofuscación (base64) y evasión (deshabilitar la validación de certificados TLS, desvincular el proceso malicioso del proceso de compilación).

Las salvaguardas fallaron en varios puntos. Primero, la autenticación de la cuenta del mantenedor ('droundy') fue comprometida, lo que indica una posible debilidad en la seguridad de la cuenta o un ataque de ingeniería social. Segundo, el sistema de publicación de crates.io no detectó la naturaleza maliciosa del 'build script' ni la intención de 'typosquatting' del crate 'proc-macro1'. Aunque 'proc-macro1' era una copia funcional de 'proc-macro2', sus dependencias de compilación inusuales (para TLS y HTTP) deberían haber levantado sospechas. Finalmente, la capacidad de un atacante para retirar versiones limpias de un crate para forzar la adopción de una versión maliciosa es una vulnerabilidad significativa en la gestión de dependencias que fue explotada eficazmente.