Rust ostrzega: napastnicy wabią opiekunów pakietów na rozmowy wideo

Zespół crates.io i grupa reagowania na incydenty projektu Rust ostrzegły przed trwającą kampanią socjotechniczną, która ma przejąć dane logowania deweloperów i podrzucić złośliwe pakiety. Poprawki nie ma, bo to nie jest błąd w oprogramowaniu. Napastnicy zapraszają cele na rozmowy wideo pod pozorem oferty pracy lub zlecenia, a w trakcie połączenia nakłaniają do instalacji programu rzekomo brakującego kodeka audio albo do uruchomienia kodu wklejonego do schowka. Dla uwiarygodnienia zakładają nowe firmy ze stronami na LinkedIn, które wytrzymują pobieżne sprawdzenie.

Kogo dotyczy

Celem są członkowie zespołów Rust i właściciele popularnych crate'ów. Zespół Rust łączy sprawę z podobnym atakiem na znanych deweloperów Rusta w czerwcu oraz z krótkim przejęciem crate'a arrayref w sierpniu, kiedy opublikowano złośliwe pakiety z konta autora. Nie wie, czy to jedna kampania. Incydent z arrayref, ujawniony 20 sierpnia, powiązano z aktorami z Korei Północnej, a ten styl ataku widziano też poza społecznością Rusta.

Co zrobić

Zespół Rust zaleca ostrożność wobec nieproszonych kontaktów i prowadzenie rozmów z nowymi osobami na zaufanej platformie, najlepiej takiej, którą samemu się zakłada. Radzi też sprawdzić konta pod kątem nietypowych zmian, włączyć uwierzytelnianie wieloskładnikowe i upewnić się, że nie ma nierozpoznanych logowań.