Serangan Rantai Pasokan Rust: Malware Menyebar Lewat Crate Populer

JAVASCORNER.CO.ID, JAKARTA - Tiga crate Rust yang banyak digunakan—arrayref, internment, dan append-only-vec—terbukti disusupi malware dalam serangan rantai pasokan yang menargetkan ekosistem pengembangan perangkat lunak. Versi berbahaya diterbitkan pada 20 Agustus 2026 melalui akun pemilik yang diretas, dan berhasil diunduh hingga 245 juta kali sebelum dihapus.

• Latar Belakang Serangan
• Detail Teknis Malware
• Dampak dan Mitigasi
• Kronologi dan Tanggapan

Latar Belakang Serangan

Pada 20 Agustus 2026, Tim Tanggap Keamanan Rust (Rust Security Response Team) menerima laporan tentang crate mencurigakan bernama proc-macro1, yang ternyata merupakan typosquat dari crate populer proc-macro2. Investigasi mengungkap bahwa tiga crate lain—arrayref, internment, dan append-only-vec—telah diterbitkan dengan dependensi berbahaya ke proc-macro1 dari akun pemilik yang sama.

Rilis yang terpengaruh adalah arrayref 0.3.10, internment 0.8.7, dan append-only-vec 0.1.9. Ketiganya dihapus dalam waktu 86 hingga 107 menit setelah publikasi, namun sempat aktif di registry crates.io.

Detail Teknis Malware

Kode berbahaya disisipkan dalam skrip build dari dependensi yang disuntikkan. Saat pengembang membangun proyek yang menyelesaikan dependensi tersebut, skrip build otomatis mengunduh dan mengeksekusi payload dari jarak jauh tanpa perlu memanggil fungsi crate secara langsung.

Mekanisme Penyebaran

Skrip build menyusun ulang alamat host dan C2 (command-and-control) dari fragmen base64, kemudian menonaktifkan validasi TLS dengan memasang verifier sertifikat khusus yang selalu mengembalikan sukses. Payload dipilih berdasarkan sistem operasi dan arsitektur CPU.

Payload per Sistem Operasi

• Unix/macOS: Menulis file ke /tmp/rust-setup, menandainya sebagai eksekusi, dan menjalankannya secara terpisah dengan alamat C2 sebagai argumen pertama.
• Windows: Menulis skrip PowerShell ke %TEMP% dan meluncurkannya tersembunyi melalui VBScript di bawah wscript.exe, lalu meninggalkannya agar berjalan mandiri.

Implan tahap kedua berkomunikasi melalui HTTPS POST ke path /49890878, bertahan dengan menambahkan registry key (Windows), LaunchAgent (macOS), atau systemd user service (Linux). Ia juga dapat mencuri kredensial browser dari Chrome, Brave, dan Edge dengan mengakses database SQLite.

Dampak dan Mitigasi

Menurut data crates.io, arrayref memiliki 245.385.500 unduhan sepanjang masa, dengan 53.905.601 unduhan dalam 90 hari terakhir. Sekitar 403 crate lain bergantung padanya, termasuk winit, tiny-skia, dan blake3. Dampak potensial sangat luas, meskipun tidak ada bukti penggunaan nyata yang tercatat.

Tim Tanggap Keamanan Rust merekomendasikan pengembang untuk memeriksa cache lokal di ~/.cargo/registry/cache dan mengunci arrayref pada versi 0.3.9 atau sebelumnya. Versi yang diperbaiki belum dirilis, dan tidak ada CVE yang ditetapkan.

Indikator Kompromi (IoC)

Total indikator yang diidentifikasi mencakup dua alamat IP, satu domain, tiga file, empat biner, dua akun, dan satu email.

Kronologi dan Tanggapan

Tim Keamanan Rust menerima laporan pada 07:15 UTC, memverifikasi bahaya proc-macro1, dan menghapus versi berbahaya dalam hitungan menit. Mereka menyatakan tidak percaya penulis arrayref bertindak jahat, melainkan kredensialnya disusupi.

Peneliti Nextron Systems GmbH pertama kali melaporkan, dan Wiz mengaitkan infrastruktur serangan dengan aktivitas Korea Utara, serupa dengan kompromi npm Mastra dan axios. Microsoft dan Google Threat Intelligence Group menilai keterlibatan aktor Sapphire Sleet dan MIDNIGHT NEPTUNE, meski belum ada atribusi resmi untuk insiden ini.

Serangan ini menyoroti kerentanan ekosistem open-source dan pentingnya langkah pencegahan seperti cooling window untuk dependensi baru. Pengembang diharapkan meningkatkan kewaspadaan dan memverifikasi integritas paket sebelum digunakan.