20 अगस्त 2026 को, crates.io पर लोकप्रिय Rust क्रेट arrayref का एक समझौता किया गया संस्करण दिखाई दिया। संस्करण 0.3.10 ने एक टाइपो-स्कॉट क्रेट proc-macro1 पर निर्भरता जोड़ी, जिसका निर्माण स्क्रिप्ट एक प्रोजेक्ट के संकलन के दौरान एक दूरस्थ बाइनरी डाउनलोड और चलाता है। यह कोड बिल्ड समय पर चलता है, इसलिए बस एक प्रोजेक्ट को संकलित करना जो बुरे संस्करणों को खींच लेता है, इसे ट्रिगर करने के लिए पर्याप्त है। crates.io टीम ने बाद में इन मालिशियस संस्करणों को हटा दिया है।
मूलभूत arrayref और append-only-vec क्रेट droundy द्वारा संचालित हैं, जिनका खाता समझौता करने की कोशिश कर रहा है। संबंधित GitHub रिपॉजिटरी अब उपलब्ध नहीं हैं। एक अलग खाता, dtolney, ने proc-macro1 प्रकाशित किया, जो David Tolnay के वास्तविक dtolnay खाते की बहुत तरह से समान है।
यह पेलोड proc-macro1 1.0.107 के निर्माण स्क्रिप्ट में रहता है। यह अपना सर्वर पता base64 टुकड़ों के रूप में संग्रहीत करता है और उन्हें बिल्ड समय पर फिर से एकत्रित करता है, जिससे पेलोड होस्ट hxxps://23[.]254[.]165[.]112:9089/ और कमांड और नियंत्रण पता 23[.]254[.]165[.]112:443 उत्पन्न होता है। स्क्रिप्ट एक आर्किटेक्चर-विशिष्ट बाइनरी को TLS कनेक्शन के माध्यम से प्राप्त करती है जो कोई भी प्रमाणपत्र स्वीकार करती है बिना सत्यापन के, फिर इसे निर्माण से अलग करके चलाती है।
स्वामी खाता ने पुराने arrayref संस्करण 0.3.5 से 0.3.9 को वापस ले लिया, जिससे डेवलपर्स को एकमात्र गैर-वापस लिए गए संस्करण की ओर, अर्थात् मालिशियस 0.3.10 की ओर धकेला गया। arrayref आम तौर पर छोटे-स्किया, sctk-adwaita और winit के माध्यम से सामान्य Rust ग्राफ़ों में गहराई से एक पारंपरिक निर्भरता के रूप में उपयोग किया जाता है।
मुख्य इकाइयाँ: लोग: David Tolnay, droundy
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित