Злоумышленники скомпрометировали популярный пакет arrayref с миллионами загрузок

В официальном репозитории crates.io зафиксировали серьезную компрометацию популярного Rust-пакета arrayref, который насчитывает свыше 53 миллионов загрузок за последние три месяца и используется в качестве зависимости в сотнях проектов. Атакующие получили доступ к учетной записи мейнтейнера и опубликовали зараженные версии библиотек arrayref 0.3.10, internment 0.8.7 и append-only-vec 0.1.9, внедрив в их манифесты вредоносную зависимость proc-macro1.

Опасная нагрузка активировалась непосредственно во время сборки проекта через скрипт пакета proc-macro1, скачивая бинарный файл с внешнего сервера управления. В Unix-подобных системах загрузчик маскировался под файл rust-setup в каталоге временных данных, а в Windows сохранялся в виде исполняемых скриптов с расширениями ps1 и vbs.

Администраторы площадки crates.io заблокировали и удалили вредоносные релизы спустя полтора часа после публикации, однако разработчикам настоятельно рекомендуется очистить локальные кеши менеджера пакетов Cargo и проверить сборочные окружения на наличие следов подозрительных файлов.

Команда для проверки наличия вредоносных пакетов в осевшем локальном кеше:

   find ~/.cargo/registry/cache -type f \( \
     -name 'append-only-vec-0.1.9.crate' -o \
     -name 'arrayref-0.3.10.crate' -o \
     -name 'internment-0.8.7.crate' -o \
     -name 'proc-macro1-*.crate' -o \
     -name 'proc-macro-en-*.crate' -o \
     -name 'aovine-*.crate' -o \
     -name 'arone-*.crate' -o \
     -name 'aronenao-*.crate' -o \
     -name 'tinymember-*.crate' \
   \) -print

Linux / Линукс 🥸

😇 Телеграм выкатил обновление с WEB Proxy

👀 Новый вид прокси, который открывает соединение с сайтом-заглушкой и упаковывает трафик в HTTPS/WS уже доступен в ПК-версии

Поставить на свой VPS можно с помощью PoC от разработчиков Telegram Desktop

Все говорят про новые Mac Mini (ща о них тоже поговорим) но я хочу обратить внимание на более важные вещи.

Тряпочка Apple получила второе поколение и теперь стоит в два раза дешевле — от 20$ теперь за всего-лишь 9$.

📼 @veselcraft

‼️ Вайбкодинг вызывает ЗАВИСИМОСТЬ — официально! Это выяснилось из опроса 305 разрабов: 80% из них хотя бы раз юзали ИИ из зависимости, а не из необходимости.

Более того: самые активные ИИ-кодеры на 51% чаще сообщают о выгорании. Дело в том, что такие работяги зачастую продолжают вайбкодить после работы. Треть откладывает сон ради ещё одного промпта, а 39% уверяют, что с ИИ им стало сложнее отключаться от работы.

Тут прослеживаются и реально сильные паттерны, напоминающие другие зависимости: когда агент всё делает правильно, то идёт впрыск дофамина. Когда же он что-то ломает — адреналина. Это подсаживает на ИИ.

Ждём открытия вайбрехабов.

🙂 Не баг, а фича