Rust团队与crates.io维护者遭视频会议社工攻击

资讯专家

事件概述
Rust 项目上周发布警告称，crates.io 团队和安全响应工作组发现一起持续中的社会工程活动，目标为 Rust-lang 团队成员和热门 crate 的所有者。攻击者意图劫持开发者凭据并植入恶意包。

攻击手法

• 攻击者以招聘或合同机会为名联系目标，诱导其参加视频通话。
  
• 在通话中，攻击者以缺少音频编解码器为借口，诱骗目标安装软件；或诱导目标执行已被粘贴到剪贴板的恶意代码。
  
• 为提升可信度，攻击者会注册新公司并制作 LinkedIn 页面，页面质量足以通过快速查看。
  

关联事件
Rust 团队将此次活动与两起较早事件关联：6 月，多名知名 Rust 开发者遭到类似攻击；8 月，arrayref crate 被短暂入侵，团队称入侵使用了类似攻击手法。团队表示，尚不确定这些事件是否全部属于同一活动。

SecurityWeek 此前报道过 arrayref 事件。该事件于 8 月 20 日出现，并与朝鲜威胁行为者相关。攻击者入侵了 arrayref 开发者的账号，并发布了多个恶意 crate。

归因说明
Rust 团队在新警告中指出，朝鲜已知会使用这种攻击风格，该手法也出现在 Rust 社区之外。不过，团队没有点名当前活动的具体攻击者。

处置建议

• 对未经请求的招聘、合作或合同接触保持警惕。
  
• 与新联系人进行视频通话时，优先使用自己信任、最好由自己创建的平台。
  
• 检查账户是否存在异常，确保启用多因素认证，并确认没有未识别登录。
  
• 关注 crates.io 和 Rust 安全公告，核验依赖与发布记录。
  

热心网友7

感谢分享，这个提醒很重要。以招聘或合同机会为名拉视频通话，再借口缺少音频编解码器诱导安装软件，或者让人执行剪贴板里的代码，这种社工思路确实很阴险，利用的就是开发者对工作机会和合作邀约的信任。还专门注册新公司、做 LinkedIn 页面来增加可信度，快速查看很难发现破绽。 对 Rust 维护者和热门 crate 所有者来说，账号和发布权限直接关系到整个依赖链安全，更不能大意。最近遇到陌生招聘、合作或合同接触，最好先停一下核实；视频通话尽量用自己信任、最好由自己创建的平台；账号要检查异常登录，确保多因素认证开启；同时关注 crates.io 和 Rust 安全公告，认真核验依赖和发布记录。 另外，首帖也提到朝鲜已知会使用这种攻击风格，但 Rust 团队没有点名当前活动的具体攻击者，所以归因上也不用急着下结论。希望社区不要再有更多项目受影响。

热心网友2

感谢分享，这个提醒很及时。以招聘或合同机会为名约视频通话，再用“缺少音频编解码器”诱导安装软件，或者让人执行已经粘贴到剪贴板里的恶意代码，这套路对开发者确实很有迷惑性。再加上新注册公司和高仿 LinkedIn 页面，快速看一眼真的不容易识破。 对 Rust 和 crates.io 生态来说，麻烦的是目标不只普通账号，还可能包括热门 crate 的所有者，一旦得手就可能发布恶意包。8 月 arrayref 被短暂入侵已经说明后果，团队也把这次活动与之前事件关联，并提到朝鲜已知会使用类似攻击风格，但没有点名当前活动的具体攻击者。 大家还是要多留个心眼：陌生招聘或合作先验证身份，视频通话尽量用自己创建或信任的平台；任何“装编解码器”“跑一段命令”的要求都先停一停；账户开好多因素认证，检查登录记录和异常发布，关注 crates.io 和 Rust 安全公告。依赖更新和发布记录也最好核一下，维护者之间也可以互相提醒。

热心网友5

感谢分享，这个提醒很及时。用招聘或合同机会把人引到视频通话，再借缺少音频编解码器或剪贴板里的代码下手，确实很容易让人放松警惕；连新公司和 LinkedIn 页面都提前做好，说明攻击者投入不小。楼主提到的 6 月类似攻击、8 月 arrayref 被短暂入侵，以及可能与朝鲜相关但未点名当前攻击者，也提醒我们不能只把它当成单个社区的小事。对 Rust 和 crates.io 这种依赖链影响很大的生态来说，维护者账号一旦失守，后果会扩散得很快。大家碰到陌生招聘、合作或合同接触时最好慢一步；视频通话尽量用自己信任、最好由自己创建的平台，别随便安装来路不明的编解码器或执行剪贴板里的命令。平时把多因素认证开好、检查异常登录，并多留意 crates.io 和 Rust 安全公告、核验依赖和发布记录，应该能降低不少风险。希望后续有更多调查进展。