Une nouvelle attaque sur la supply chain vise les développeurs Rust via arrayref
Une attaque ciblant la chaîne d’approvisionnement logicielle (supply chain) a récemment visé l’écosystème Rust, révélant une fois de plus la vulnérabilité des écosystèmes de développement face à des compromissions subtiles et difficiles à détecter. En exploitant des dépendances légitimes et des mécanismes de compilation, les attaquants ont tenté de diffuser un infostealer à grande échelle, exploitant des comptes de mainteneurs compromis et des techniques de typosquatting pour maximiser leur impact. Cette opération illustre l’évolution des stratégies des cybercriminels, qui privilégient désormais des attaques en profondeur plutôt que des intrusions frontales.
Comment les attaquants ont-ils réussi à infiltrer l’écosystème Rust ?
Les attaquants ont compromis le compte d’un mainteneur historique du crate arrayref, une dépendance très répandue (245 millions de téléchargements) utilisée par 400 autres crates. Ils ont publié une version corrompue (arrayref@0.3.10) contenant un build script malveillant, déclenchant le téléchargement d’un infostealer lors de la compilation. Cette méthode a permis d’éviter d’infecter directement le crate principal, mais ses dépendances, exploitant ainsi une faille dans la chaîne de confiance des paquets Rust.
Quels étaient les objectifs de la charge malveillante déployée ?
La charge malveillante, lancée dès la compilation, visait à extraire des données sensibles, notamment des identifiants stockés dans les navigateurs, et à établir un canal de commande et contrôle (C2) pour exfiltrer ces informations. Elle désactivait également la validation des certificats TLS pour contourner les protections réseau et installait un composant persistant selon le système d’exploitation (registre Windows, LaunchAgent sur macOS, ou systemd sur Linux).
Pourquoi cette attaque est-elle considérée comme critique (CVE-2026-77651) ?
La CVE-2026-77651 a été qualifiée de critique avec un score de 9,8 en raison de l’exploitation massive possible de la faille : arrayref est une dépendance centrale pour des centaines d’autres crates, dont certains liés à des écosystèmes blockchain majeurs comme Ethereum et Solana. La compromission d’un mainteneur historique et la rapidité de diffusion (90 à 107 minutes en ligne) ont amplifié le risque, malgré une réaction rapide des équipes de sécurité.
Quelles similitudes cette attaque présente-t-elle avec d’autres campagnes récentes ?
Selon les chercheurs de Wiz, le mode opératoire et une adresse IP détectée rappellent des attaques précédentes contre Trivy, Axios et npm, suggérant une possible implication d’acteurs étatiques ou de groupes cybercriminels organisés. Ces attaques partagent une stratégie commune : cibler des dépendances logicielles critiques via des comptes compromis ou des techniques de typosquatting, puis exploiter la chaîne d’approvisionnement pour diffuser des charges malveillantes de manière silencieuse.
Ce que ça pourrait changer
Cette attaque souligne la nécessité pour les écosystèmes de développement de renforcer la sécurité des comptes de mainteneurs et de systématiser la vérification des dépendances, notamment via des outils d’analyse automatisée. Elle pourrait accélérer l’adoption de mécanismes comme la signature cryptographique des paquets ou l’intégration de listes blanches pour les modifications de dépendances. Par ailleurs, elle rappelle que les attaques sur la supply chain ne visent plus seulement les infrastructures critiques, mais aussi les outils du quotidien des développeurs, rendant la vigilance collective indispensable.
