arrayref: o malware que rodou antes de alguém apertar "executar"

Uma biblioteca minúscula em Rust, que milhares de projetos puxam sem nem pensar, foi publicada numa versão envenenada. O detalhe desagradável: o código disparou durante a compilação — antes de o programa a que ele pertencia ter sido aberto uma única vez.

Em 20 de agosto de 2026, o projeto Rust publicou um aviso de segurança sobre um ataque à cadeia de suprimentos no crates.io, a vitrine onde ficam as bibliotecas de código em Rust. Dois pacotes entraram na história: o arrayref, um auxiliar pequeno que aparece no fundo da lista de dependências de um monte de software, e o proc-macro1, nome que fica a um caractere de distância do proc-macro2, que está em praticamente tudo que se escreve em Rust. A empresa de segurança SafeDep abriu a versão envenenada e encontrou a carga maliciosa alojada na etapa de build.

Aqui vale desacelerar. A maior parte do código malicioso espera você abrir o programa. Este rodou enquanto o programa estava sendo montado. O desenvolvedor digita o comando para compilar, levanta para fazer um cafezinho e, quando volta, a máquina já executou código de outra pessoa. Nada foi aberto. Nada foi clicado. O próprio build era o gatilho.