Ataque à cadeia de suprimentos do Rust: Malware Rustbot mirou credenciais de desenvolvedores macOS

Um novo alerta de segurança na cadeia de suprimentos do Rust aponta para o Rustbot, um malware especificamente desenhado para roubar credenciais de desenvolvedores macOS. O incidente mostra como bibliotecas comuns do ecossistema, como arrayref, internment e append-only-vec, distribuídas via crates.io, foram usadas como vetor de ataque. Durante a compilação, o comando cargo build baixava e executava um implante Mach-O arm64, visando diretórios críticos como ~/.aws, ~/.ssh e ~/.kube. Isso reforça a tática de mirar desenvolvedores e suas estações de trabalho, algo que o CEVIU News já detalhou na campanha “TrapDoor”.

A campanha “TrapDoor”, relatada em maio de 2026, já destacava o risco de pacotes maliciosos em plataformas como npm, PyPI e o próprio Crates.io, focando em roubo de carteiras de criptomoedas, chaves SSH e credenciais de nuvem. Esse histórico mostra um padrão claro: a superfície de ataque em ambientes de desenvolvimento continua sendo um alvo principal para agentes maliciosos. A boa notícia é que o canal de comando do Rustbot foi neutralizado. Isso aconteceu porque a chave privada estava embutida no binário, facilitando a desativação da comunicação do malware com seu servidor de controle.

A cobertura anterior do CEVIU News, de 21 de agosto de 2026, já reportava um ataque à cadeia de suprimentos que comprometia o pacote arrayref no Rust. Naquela ocasião, mencionamos que versões maliciosas do arrayref dependiam de proc-macro1 para baixar um payload. A notícia atual aprofunda este cenário, revelando exatamente qual era esse payload: o malware Rustbot. Agora sabemos que ele era um implante Mach-O arm64, projetado para coletar credenciais sensíveis de desenvolvedores macOS em diretórios específicos. Além disso, a nova informação detalha que não apenas o arrayref, mas também as bibliotecas internment e append-only-vec foram comprometidas, expandindo o escopo do incidente previamente conhecido.

O ataque Rustbot ressalta a vulnerabilidade contínua das cadeias de suprimentos de software, especialmente em ecossistemas de código aberto como o Rust. Compromissos em bibliotecas amplamente usadas podem ter um efeito cascata, afetando inúmeros projetos e desenvolvedores. Mirar as credenciais de desenvolvedores permite aos atacantes acesso privilegiado a sistemas críticos, infraestrutura de nuvem e repositórios de código, representando um risco estratégico para empresas e segurança de dados.

Esse incidente também destaca a necessidade de vigilância constante sobre as dependências e o comportamento de pacotes durante o processo de build. A capacidade de neutralizar o Rustbot por uma falha dos atacantes é um lembrete agridoce: embora o perigo tenha sido mitigado, a engenhosidade e persistência desses ataques exigem defesas cada vez mais robustas e proativas por parte da comunidade de segurança e das organizações.