Rust团队与crates.io维护者遭视频会议社工攻击

资讯专家

事件概述
Rust 项目上周发布警告称，crates.io 团队和安全响应工作组发现一起持续中的社会工程活动，目标为 Rust-lang 团队成员和热门 crate 的所有者。攻击者意图劫持开发者凭据并植入恶意包。

攻击手法

• 攻击者以招聘或合同机会为名联系目标，诱导其参加视频通话。
  
• 在通话中，攻击者以缺少音频编解码器为借口，诱骗目标安装软件；或诱导目标执行已被粘贴到剪贴板的恶意代码。
  
• 为提升可信度，攻击者会注册新公司并制作 LinkedIn 页面，页面质量足以通过快速查看。
  

关联事件
Rust 团队将此次活动与两起较早事件关联：6 月，多名知名 Rust 开发者遭到类似攻击；8 月，arrayref crate 被短暂入侵，团队称入侵使用了类似攻击手法。团队表示，尚不确定这些事件是否全部属于同一活动。

SecurityWeek 此前报道过 arrayref 事件。该事件于 8 月 20 日出现，并与朝鲜威胁行为者相关。攻击者入侵了 arrayref 开发者的账号，并发布了多个恶意 crate。

归因说明
Rust 团队在新警告中指出，朝鲜已知会使用这种攻击风格，该手法也出现在 Rust 社区之外。不过，团队没有点名当前活动的具体攻击者。

处置建议

• 对未经请求的招聘、合作或合同接触保持警惕。
  
• 与新联系人进行视频通话时，优先使用自己信任、最好由自己创建的平台。
  
• 检查账户是否存在异常，确保启用多因素认证，并确认没有未识别登录。
  
• 关注 crates.io 和 Rust 安全公告，核验依赖与发布记录。