Rustクレート「arrayref」汚染するサプライチェーン攻撃でスティーラーマルウェアがプッシュされる

Rustクレート「arrayref」汚染するサプライチェーン攻撃でスティーラーマルウェアがプッシュされる

BleepingComputer – August 20, 2026

Rustの人気クレート（ライブラリ）「arrayref」を標的としたサプライチェーン攻撃が発生。攻撃者は同クレートのメンテナDavid Roundy氏のアカウント（droundy）を侵害し、コンパイル時に開発者システム上で実行されるインフォスティーラーマルウェアを混入させたという。サイバーセキュリティ企業のStepSecurityやSafeDep、Aikido、Wiz、Socketなどがそれぞれ技術的分析記事を公開し、併せてIoCを共有している。

arrayrefは、暗号技術、グラフィックス、ブロックチェーン関連のツールなどで広く利用されている人気のRustライブラリ。同ライブラリを使用するプロジェクトには、blake3やRust GUIフレームワーク（egui、eframe、icedなど）のほか、イーサリアムやSolanaで使用されるコンポーネントなどが含まれる。

今回のサプライチェーン攻撃では、arrayrefに加え、別の2つのクレート（append-only-vec、internment）も汚染されている。arrayrefは累計ダウンロード数が2億4,500万回を超えている上、append-only-vecとinternmentの合計インストール数は1,900万回近くに上ることから、この攻撃の潜在的な影響は重大であるものとみられている。

アプリケーションセキュリティ企業のStepSecurityによれば、汚染されたクレートリリースは以下の3件。いずれも、侵害されたDavid Roundy氏のアカウント（droundy）から公開されていたという。攻撃者は、悪意ある依存関係（proc-macro1）を通じてこれらのリリースを汚染させていた。

• arrayref 0.3.10（公開から削除までのオンラインだった時間：86分）
• append-only-vec 0.1.9（107分）
• internment 0.8.7（90分）

proc-macro1は正規の人気クレート「proc-macro2」をタイポスクワッティングにより偽装したもの。proc-macro1には、コンパイル時に自動で実行されるスクリプト「build.rs」が含まれており、これを通じて感染チェーンがスタートするとされる。クラウドセキュリティ企業のWizは、展開されるマルウェアにはホストの情報や認証情報を抜き取る性能などが備わっていると指摘。また永続性については、WindowsではレジストリのRunキー、macOSではLaunchAgent、Linuxではsystemdによって確立されると伝えている。

StepSecurityによれば、今回のサプライチェーン攻撃のタイムラインは以下の通り。

• 8月20日10時17分（日本時間）：人気の正規クレート「proc-macro2」の作者David Tolnay氏になりすましたGitHubアカウントが作成されたのち、crates.ioレジストリでも同様のアカウントが作成される。
• 10時55分：正規クレートproc-macro2の無害なコピーであり、タイポスクワット名が付けられた「proc-macro1@1.0.106」が公開される。その後、16時11分にバージョン1.0.107を通じて悪意あるペイロードが加えられる。
• 16時15分：正規のDavid Roundy氏のアカウントを通じて、悪意あるバージョンarrayref 0.3.10が公開されるとともに、バージョン0.3.5〜0.3.9が削除される。
• 16時34分：同一アカウントを通じて、悪意あるinternment@0.8.7が公開される。
• 16時37分：同一アカウントを通じて、悪意あるappend-only-vec@0.1.9が公開される。
• 16時54分：インシデントが報告される。
• 17時3分：proc-macro1を削除される。
• 17時41分：arrayref 0.3.10をインデックスから削除される。
• 18時4分：internment@0.8.7が削除される。
• 18時25分：append-only-vec@0.1.9が削除される。

上記期間内にいずれかのクレートリリースをインストールした開発者は、自身が侵害されているものと想定し、Cargo.lockファイルを検索する、ドロップされたファイルを探す、9089番および443番ポートで23.254.165[.]112へのトラフィックをレビューするなどの手段で侵害有無を確認することが推奨される。

侵害が確認された場合には、アクセス可能なすべての認証情報・CIトークン・署名鍵・およびその他のシークレットを更新し、安全なバックアップから環境を構築し直すことが求められるという。侵害が見つからなかった場合は、メンテナの状況が明確になり、事態が解消されるまでの間、影響を受ける依存関係の安全なバージョンをピン留めしておくことが推奨される。

なお、攻撃者の正体は不明だが、Wizの研究者らは、「本キャンペーンのインフラは、Mastraやaxiosの攻撃を含む最近のDPRK（北朝鮮）関連のサプライチェーン攻撃と重複する」とコメントしているとのこと。