Третий вредоносный крейт в crates.io за осень: полезная нагрузка спрятана в транзитивной зависимости

Команда crates.io удалила два вредоносных крейта: finch-rust, маскировавшийся под существующую библиотеку finch, и sha-rust, на который тот зависел. Полезная нагрузка находилась не в коде верхнего уровня, а в транзитивной зависимости.

Что обнаружено и когда

5 декабря о вредоносных крейтах сообщила исследовательская команда Socket. finch-rust вышел 25 ноября 2025 года, одну версию, 28 загрузок. sha-rust — восемь версий с 20 по 25 ноября, 153 загрузки; именно он занимался выносом данных.

Пользователь отключён, оба крейта удалены в 15:52 UTC 5 декабря, связанные репозитории сообщены в GitHub и там тоже удалены.

Зависимых крейтов на crates.io не было, и, по данным команды, скачиваний вне автоматических зеркал и сканеров не зафиксировано.

Почему важна именно эта схема

Предыдущие случаи этой осени были другими. В сентябре вредоносный код находился прямо в коде крейта и маскировалcя под форк настоящей библиотеки. Здесь всё тоньше: верхний уровень выглядит безобидно, а обвиняется транзитивная зависимость.

Практический вывод: анализа только того, что написано в Cargo.toml вашего проекта, недостаточно. Нужен разбор графа зависимостей — и именно там обнаруживается то, что вредоносно.

О скорости реакции

С первой публикации 20 ноября до удаления 5 декабря прошло пятнадцать дней. Для злоумышленника, рассчитывавшего на массовые загрузки, это срок, за который имя крейта перестаёт искаться.

Оригинал

crates.io: Malicious crates finch-rust and sha-rust от 5 декабря 2025 года