러스트 패키지 공급망 오염, 컴파일 때 악성코드 실행

러스트 패키지 저장소 crates.io에 올라온 arrayref 0.3.10 등 악성 버전이 컴파일 과정에서 원격 악성코드를 실행한 것으로 확인됐다. 개발자가 해당 의존성을 새로 해석해 빌드한 경우 패키지 기능을 직접 호출하지 않아도 감염이 발생할 수 있는 구조였다.

러스트섹(RustSec)은 20일(현지시간) 보안 권고에서 arrayref 0.3.10이 악성 proc-macro1 의존성 때문에 crates.io에서 제거됐다고 밝혔다. 아이키도(Aikido)는 같은 날 분석에서 공격자가 arrayref와 append-only-vec에 proc-macro1 1.0.107 의존성을 추가했고, 이 패키지가 빌드 중 원격 페이로드를 내려받아 개발자 장비에서 실행한다고 설명했다.

아이키도는 arrayref의 누적 다운로드가 2억4498만9384건, append-only-vec은 448만4606건이라고 밝혔다. 악성 코드는 proc-macro1의 build.rs에 들어 있었고, 윈도·리눅스·맥 운영체제와 CPU 아키텍처에 맞춰 페이로드를 선택하는 방식이었다고 아이키도는 전했다.

아이키도는 확보한 페이로드 분석에서 크롬·브레이브·마이크로소프트 엣지 등 크로미움 기반 브라우저의 저장 로그인 정보와 브라우저 확장 저장소가 수집 대상에 포함됐다고 설명했다. 위즈(Wiz)는 별도 분석에서 이번 러스트 공급망 공격이 북한 연계 공급망 캠페인과 겹치는 부분이 크다고 평가했다.