Вредоносные крейты faster_log и async_println искали приватные ключи при запуске программы

Команда crates.io удалила два вредоносных крейта — faster_log и async_println. Оба выглядели как настоящая библиотека для логирования, а на деле во время работы программы искали в обрабатываемых файлах приватные ключи Ethereum и Solana и отправляли их на посторонний сервер.

Как это выглядело

Оба крейта — копии существующей библиотеки: исходный код, возможности и документация скопированы без изменений, отличалась только вредоносная нагрузка. Это классический подмен: имя отличается от настоящего на пару символов, содержимое снаружи идентично.

Опубликованы были 25 мая 2025 года — то есть вредоносный код был доступен четыре месяца. На момент обнаружения у faster_log было 7181 загрузка, у async_println — 1243.

Где срабатывала нагрузка

Ключевая деталь: вредоносный код выполнялся во время работы программы — при запуске или при прогоне тестов проекта, который зависит от крейта. На этапе сборки он не выполнялся.

Нагрузка вклинивалась в штатную операцию упаковки лог-файла и параллельно просматривала содержимое: искала приватные ключи Ethereum в кавычках, секреты в base58 и произвольные массивы байт в скобках. Найденное отправлялось на адрес, размещённый на Cloudflare Workers. Зависимых крейтов на crates.io у них не было.

Почему это важно именно для проверки крейтов

Сканеры, которые проверяют build.rs на подозрительное поведение, такой случай пропустят: на этапе сборки ничего не выполняется. Полезная нагрузка спрятана в рантайме и маскируется под обычную работу логгера.

Отсюда практический вывод: обзора верхнего уровня недостаточно. Крейт, который занимается упаковкой файлов, логированием или архивированием, стоит смотреть внимательнее — особенно если его назначение связано с доступом к данным.

Что сделали

Пользователь отключён, крейты удалены 24 сентября в 15:34 UTC, файлы и журналы сохранены для анализа.

Оригинал

crates.io: Malicious crates faster_log and async_println от 24 сентября 2025 года