Идёт кампания против мейнтейнеров: звонок с предложением работы заканчивается установкой чужой программы

Команда реагирования на проблемы безопасности Rust предупредила о продолжающейся кампании, нацеленной на участников проекта и владельцев популярных крейтов. Цель — скомпрометировать устройства и учётные записи, чтобы публиковать через них вредоносное.

Как устроена атака

Злоумышленники заводят новые, но вполне правдоподобные профили компаний, включая профили в деловой сети, чтобы пройти беглый осмотр.

Затем — видеозвонок с чем-то приятным предложением: работа, проект, контракт. И во время звонка от жертвы добиваются либо установки чего-либо на компьютер (например, якобы недостающего аудиокодека), либо выполнения другой команды — например, через команду, подложенную в буфер обмена.

Этот приём известен как работа КНДР и встречался за пределами сообщества Rust.

Связь с инцидентом в августе

В объявлении прямо соотнесены три события: атака такого рода на многих известных разработчиков Rust в июне, краткосрочная компрометация крейта arrayref в августе и нынешняя кампания.

Связаны ли все три — неизвестно.

Почему это касается каждого

Мейнтейнером крейта может быть любой. Скомпрометированная учётная запись мейнтейнера даёт вредоносный код всем, кто тянет зависимость, — то есть жертва атаки становится источником вреда для тысяч посторонних проектов.

Отсюда практический вывод: появление подозрительной версии зависимости — первый признак взлома, а не ошибки сборки. Реагировать стоит на появление версии, а не на симптомы в своём коде.

Что рекомендуют

• настороженно относиться к неожиданным предложениям работы и проектов;
• самим назначать звонок на привычной платформе, а не принимать ссылку от собеседника;
• проверить, включена ли двухфакторная аутентификация, и нет ли подозрительных входов в учётную запись.

Сообщения — на security@rust-lang.org и help@crates.io.

Оригинал

Be alert: targeted attacks on prominent Rustaceans от 17 сентября 2026 года