Serangan Ransomware dan Malware Mengintai Ekosistem Rust, Crate arrayref Disusupi Infostealer

Kompromi rantai pasok (supply chain attack) kembali mengguncang ekosistem pengembang perangkat lunak. Akun pengembang (maintainer) dari crate Rust yang sangat populer, arrayref, berhasil diretas oleh kelompok penjahat siber untuk menyebarkan malware jenis infostealer. Malware ini dirancang khusus untuk mengeksekusi kode berbahaya di sistem pengembang saat proses kompilasi (compilation) berlangsung.

Tidak hanya arrayref, dalam rentang waktu singkat selama 23 menit, peretas juga berhasil meracuni dua paket pustaka (crate) lainnya yang dikelola oleh akun yang sama, yakni append-only-vec dan internation. Ancaman ini dinilai sangat krusial mengingat arrayref sendiri telah diunduh lebih dari 53 juta kali dalam 90 hari terakhir dan menjadi fondasi utama dalam berbagai proyek kriptografi, pemrosesan grafis, hingga infrastruktur blockchain seperti Ethereum dan Solana.

Modus Operasi Pustaka Palsu dan Eksploitasi build.rs

Berdasarkan investigasi keamanan, serangan ini terjadi pada beberapa rilis spesifik, yaitu arrayref versi 0.3.10, append-only-vec versi 0.1.9, dan internment versi 0.8.7. Peretas tidak mengubah kode sumber utama dari pustaka tersebut. Sebaliknya, pelaku menyisipkan ketergantungan (dependency) baru pada paket bernama proc-macro1.

Paket proc-macro1 merupakan teknik typosquatting yang menyerupai pustaka populer proc-macro2. Saat pengembang melakukan kompilasi proyek yang menggunakan pustaka terinfeksi, skrip bernama build.rs di dalam proc-macro1 secara otomatis berjalan. Skrip ini menyusun kembali infrastruktur malware dari fragmen berkode Base64, lalu memilih payload yang sesuai dengan sistem operasi target, baik itu Linux x86-64, Windows x86-64, macOS x86-64, maupun macOS ARM64.

Setelah berhasil mengeksekusi payload, perilaku malware berbeda-beda tergantung platformnya:

• Pada sistem Unix (Linux/macOS): Malware menulis berkas ke jalur /tmp/rust-setup, mengubah modusnya menjadi executable, dan menjalankannya sebagai detached process.
• Pada sistem Windows: Malware membuat berkas %TEMP%\rust-setup.ps1 dan memanfaatkan skrip wscript.exe serta peluncur VBS tersembunyi agar proses terus berjalan di latar belakang tanpa terdeteksi pengguna.

Pencurian Kredensial dan Mekanisme Persistence

Tahap kedua dari serangan ini berfokus pada pencurian data sensitif dan informasi host. Malware berburu kredensial login yang tersimpan di dalam basis data SQLite milik peramban populer seperti Google Chrome, Brave, dan Microsoft Edge.

Guna mempertahankan akses (persistence), malware menanamkan dirinya di dalam direktori sistem:

• Windows: Menggunakan Registry Run key.
• macOS: Memanfaatkan LaunchAgent.
• Linux: Menggunakan layanan systemd.

Seluruh data yang berhasil dikumpulkan kemudian dikirimkan ke alamat command-and-control (C2) milik peretas. Peneliti keamanan mencatat adanya tumpang-tindih (overlap) infrastruktur kampanye ini dengan kelompok peretas yang didukung negara North Korea (DPRK) yang sebelumnya pernah melancarkan serangan supply chain serupa pada proyek Mastra dan axios.

Kronologi Kejadian dan Langkah Mitigasi

Aksi peretasan ini tergolong sangat terencana dan berjalan cepat:

1. Pembuatan Akun Tiruan: Peretas membuat akun GitHub dan akun registry crates.io palsu yang meniru identitas pengembang terkemuka.
2. Publikasi Paket Berbahaya: Peretas mengunggah proc-macro1 versi aman terlebih dahulu sebelum memperbaruinya ke versi berbahaya.
3. Penyebaran ke Crate Populer: Menggunakan akun pengembang legitimasi yang berhasil dikompromikan, versi terinfeksi arrayref 0.3.10 dipublikasikan. Pelaku bahkan menghapus versi 0.3.5 hingga 0.3.9 untuk memaksa sistem mengunduh versi terbaru yang berbahaya.
4. Pembersihan: Tim crates.io bergerak cepat menghapus pustaka berbahaya tersebut dari indeks setelah menerima laporan dari komunitas keamanan.

Pengembang yang sempat melakukan kompilasi proyek menggunakan pustaka terdampak dalam jendela waktu insiden disarankan untuk segera menganggap sistem mereka telah berkompromi. Langkah mitigasi yang perlu diambil mencakup pemindaian berkas Cargo.lock, pengecekan keberadaan berkas rust-setup, serta pemantauan lalu lintas jaringan menuju IP C2. Jika terkonfirmasi terinfeksi, seluruh kredensial, token CI/CD, dan signing key yang tersimpan di lingkungan pengembangan wajib segera dirotasi.

Sumber: Serangan Supply Chain Rust