Rust e Firefox sotto attacco: crate compromessi e 77 estensioni legate al furto crypto

🛡️ Executive Summary

• Versioni malevole di arrayref, internment e append-only-vec hanno introdotto proc-macro1, typosquat capace di eseguire una backdoor durante la compilazione Rust.
• Wiz rileva forti sovrapposizioni infrastrutturali con campagne nordcoreane Mastra e axios, ma parla correttamente di collegamenti significativi e non di attribuzione definitiva.
• Socket collega 77 estensioni Firefox a una stessa infrastruttura: 40 rubano wallet o credenziali, mentre 37 funzionano come deceptive sports-score shells.

Due campagne mostrano quanto il concetto di supply chain si sia ormai esteso dal codice open source fino alle estensioni installate direttamente nel browser. Il 20 agosto 2026 il Rust Security Response Team ha rimosso versioni malevole dei crate arrayref, internment e append-only-vec, dopo che gli account compromessi avevano aggiunto una dipendenza typosquat capace di eseguire una backdoor durante cargo build. Wiz ha individuato significative sovrapposizioni con infrastrutture utilizzate in precedenti operazioni attribuite alla Corea del Nord. Parallelamente Socket ha collegato 77 estensioni Firefox a un ecosistema di wallet contraffatti, phishing remoto, furto di recovery phrase, keyring e credenziali. Nei due casi la vittima compie un’azione apparentemente ordinaria: compila una dipendenza o installa un add-on.

Arrayref viene compromesso dopo dieci anni senza dipendenze

La ricostruzione tecnica di Wiz parte da [email protected], pubblicato il 20 agosto insieme alle versioni compromesse [email protected] e [email protected]. La modifica più anomala compare immediatamente nel Cargo.toml: arrayref, che in circa dieci anni non aveva mai avuto dipendenze, inizia improvvisamente a richiedere proc-macro1, nome costruito per imitare il legittimo proc-macro2, crate con oltre 154 milioni di download. Il problema non è soltanto il typosquatting. proc-macro1 contiene un build.rs malevolo e Cargo esegue automaticamente gli script di build durante la compilazione, quindi è sufficiente compilare un progetto che include la dipendenza compromessa per eseguire il payload.

Secondo la telemetria Wiz, una qualsiasi versione di arrayref compare in oltre il 35% degli ambienti osservati e in circa tre quarti degli ambienti nei quali viene utilizzato Rust. È la stessa debolezza strutturale già emersa quando AsyncAPI è stata compromessa attraverso pacchetti npm utilizzati milioni di volte: la reputazione accumulata da una libreria legittima diventa moltiplicatore dell’attacco appena viene compromesso il processo di pubblicazione.

Il build script scarica una backdoor per Windows, Linux e macOS

Il build.rs ricostruisce un URL C2 da frammenti Base64, disabilita la verifica dei certificati TLS, identifica sistema operativo e architettura e scarica il secondo stadio. Su sistemi Unix il file viene scritto in /tmp/rust-setup, mentre su Windows compare come %TEMP%\rust-setup.ps1. Il payload supporta Linux x86_64, Windows x86_64, macOS x86_64 e macOS ARM64, quindi non si tratta di una catena costruita esclusivamente per un singolo ambiente di sviluppo. La backdoor comunica attraverso HTTPS POST, raccoglie informazioni dell’host e credenziali, cerca password conservate in Chrome, Brave ed Edge e installa persistenza tramite Registry Run key su Windows, LaunchAgent su macOS e systemd user service su Linux. I comandi individuati da Wiz permettono di terminare il malware, riconfigurare C2 e intervallo di beacon, installare la persistenza oppure scaricare ed eseguire script PowerShell o shell. Se il C2 principale non è raggiungibile, entra in funzione anche un Domain Generation Algorithm che produce dieci domini .com ogni cinque giorni.

Rust rimuove i crate e blocca l’account del maintainer

La risposta ufficiale è arrivata poche ore dopo. Nel comunicato del Rust Security Response Team il progetto conferma che proc-macro1, proc-macro-en, aovine, arone, aronenao e tinymember erano malevoli e sono stati eliminati. La versione compromessa di arrayref è rimasta online per circa 86 minuti, [email protected] per 90 minuti e [email protected] per 107 minuti. Il team ha ripristinato le versioni precedentemente yankate e bloccato precauzionalmente l’account del maintainer, specificando di non ritenere che l’autore legittimo stesse agendo volontariamente: l’ipotesi è la compromissione del computer o delle credenziali. Il dettaglio è importante perché questo non è un caso di sviluppatore che pubblica deliberatamente malware sotto un nome nuovo, ma una vera supply chain compromise di progetti esistenti. Chi abbia compilato una delle versioni colpite deve considerare workstation e CI runner compromessi, ruotare token, chiavi, credenziali cloud e secret di signing e ricostruire gli artefatti prodotti da sorgenti pulite.

Le infrastrutture ricordano campagne DPRK ma l’attribuzione resta prudente

Wiz rileva sovrapposizioni significative con operazioni precedentemente attribuite alla Corea del Nord, senza trasformarle automaticamente in prova definitiva sull’identità dell’attaccante. Il payload utilizza il percorso C2 /49890878, già comparso nella campagna Mastra, attribuita da Microsoft a Sapphire Sleet, mentre uno degli IP condivide caratteristiche del certificato SSL con infrastruttura osservata nella stessa attività. Un altro indirizzo segnalato da una vittima compare nell’analisi Google Cloud relativa alla compromissione del pacchetto axios, associata da Mandiant a operatori nordcoreani. Anche l’intervallo 23.254.164.0/23 di Hostwinds ricorre nelle campagne confrontate. La continuità tattica è coerente con un ecosistema che da tempo utilizza falsi colloqui e repository manipolati per entrare nelle workstation degli sviluppatori, ma Wiz parla correttamente di significant overlap, non di attribuzione certa dell’intera compromissione di arrayref.

Firefox ospita un’altra supply chain, questa volta rivolta direttamente ai wallet

Il secondo caso parte dal browser. Nella ricerca originale di Socket vengono collegate 77 identità di estensioni Firefox attraverso codice condiviso, infrastrutture, version history, pattern degli add-on ID e tecniche di pubblicazione. Di queste, 40 contengono funzionalità confermate per il furto di wallet o credenziali, mentre altre 37 sono deceptive sports-score shells: apparentemente applicazioni sportive, ma pubblicate attraverso la stessa pipeline e con descrizioni che promettono funzioni completamente diverse come VPN, password generator, screenshot o conversione di valute. La campagna, tracciata provvisoriamente come Offside Wallet Theft Factory, risulta attiva almeno da marzo 2026 e prosegue fino ad agosto. Socket precisa che non è possibile dimostrare che un unico attore controlli ogni singola estensione, ma i collegamenti indicano almeno una pipeline comune o operatori strettamente collegati.

Finti OKX e Rabby chiedono direttamente recovery phrase e private key

Una delle estensioni analizzate si chiama 0KX WEB3, con uno zero al posto della lettera O per imitare OKX. La parte più interessante è che il componente non contiene neppure le funzioni necessarie a gestire realmente un wallet. Interroga invece un progetto Supabase controllato dagli attaccanti, recupera un URL aggiornabile e carica dentro il popup una pagina Web3 ospitata tramite Cloudflare Pages. Quando il sistema è in modalità innocua mostra un semplice notepad; quando l’operatore cambia il valore remoto, compare una falsa interfaccia wallet che invita a creare o importare un portafoglio. La vittima inserisce così volontariamente recovery phrase fino a 24 parole o private key, consegnando direttamente agli operatori tutto ciò che serve per ricostruire il wallet altrove. L’estensione chiede soltanto i permessi storage e tabs, dimostrando perché un add-on con pochi privilegi non sia necessariamente sicuro. Il problema della fiducia nei wallet browser era già emerso nell’analisi sulle cinque minacce strutturali che possono compromettere privacy e identità Web3.

Alcune estensioni rubano il keyring prima ancora che venga cifrato

Altri campioni sono ancora più invasivi. Socket ha individuato 15 estensioni che catturano recovery phrase, private key o altri segreti e li inviano attraverso Cloudflare Workers, mentre 13 versioni modificate di Rabby Wallet sottraggono il keyring serializzato prima che venga cifrato localmente. Cinque ulteriori estensioni raccolgono credenziali e clipboard attraverso infrastrutture C2 hardcoded. In questi scenari l’attaccante non tenta di decifrare un vault già protetto: modifica direttamente il workflow dell’estensione nel punto in cui il materiale sensibile esiste inevitabilmente in chiaro. La tecnica ricorda gli infostealer distribuiti attraverso 292 repository GitHub falsi che colpivano credenziali e wallet degli sviluppatori, ma con una differenza fondamentale: il codice malevolo viene presentato alla vittima come strumento destinato proprio a proteggere il patrimonio digitale.

Mozilla conosce il problema e raccomanda di partire sempre dal sito del wallet

Mozilla affronta da tempo questa categoria di abuso. Nel proprio avviso sulle estensioni crypto contraffatte spiega di avere individuato nel corso degli anni centinaia di scam wallet e di utilizzare indicatori automatici combinati con revisione umana per bloccarli. La raccomandazione più importante resta semplice: non cercare il wallet partendo dal marketplace, ma visitare il sito ufficiale del produttore e utilizzare esclusivamente il collegamento all’estensione indicato da quest’ultimo. Socket ha segnalato a Mozilla le estensioni ancora presenti durante l’indagine e alcune sono state rimosse prima della pubblicazione. Il problema resta però particolarmente difficile perché una versione iniziale può essere innocua e trasformarsi successivamente: nove identità confermate come malevole avevano pubblicato in passato semplici applicazioni sportive per poi riutilizzare lo stesso Firefox ID nelle versioni successive come wallet stealer.

Lo sviluppatore e il browser sono diventati due estremi della stessa catena

arrayref e le estensioni Firefox mostrano due modelli apparentemente opposti ma costruiti sullo stesso principio. Nel primo l’utente si fida di una dipendenza consolidata e il malware viene eseguito automaticamente durante la compilazione; nel secondo si fida di un’estensione che imita un prodotto conosciuto e consegna personalmente le proprie chiavi. Tra questi estremi si trova l’intera supply chain moderna: package manager, repository, add-on store, browser e workstation accumulano credenziali sufficienti per trasformare una singola compromissione in accesso a cloud, CI/CD, wallet e account aziendali. Le campagne recenti basate su pacchetti npm malevoli capaci di svuotare wallet e rubare secret dagli ambienti di sviluppo confermano che l’obiettivo non è più soltanto infettare il maggior numero possibile di endpoint. L’obiettivo è entrare nei punti nei quali la fiducia è già stata concessa, perché lì un cargo build, un aggiornamento o l’importazione di una seed phrase possono fare il lavoro dell’attaccante senza bisogno di un exploit tradizionale.