Разработчиков Rust предупредили о целевых атаках на их аккаунты и устройства

Рабочая группа по реагированию на инциденты безопасности Rust совместно с командой реестра Crates.io выпустила предупреждение: против ключевых разработчиков языка ведётся целенаправленная атака.

Под удар попали как участники команды Rust-Lang, отвечающие за развитие языка, так и владельцы популярных крейтов. По имеющимся данным, злоумышленники пытаются скомпрометировать их устройства и учётные записи, чтобы затем распространять вредоносное ПО внутри экосистемы Rust.

Как устроена атака

Схема выглядит проработанной. Атакующие создают правдоподобные профили несуществующих компаний, в том числе присутствие в LinkedIn, рассчитанное на то, чтобы выдержать беглую проверку. Затем разработчику предлагают нечто заманчивое — работу, участие в проекте или контракт — и назначают видеозвонок.

Сам звонок и становится вектором атаки. Под благовидным предлогом жертву подталкивают либо установить какую-нибудь программу (классический пример — якобы недостающий аудиокодек), либо выполнить команду. В одном из описанных приёмов нужная злоумышленникам команда заранее помещается в буфер обмена, а человека просят её вставить и запустить.

Что рекомендуют сделать

В опубликованном бюллетене безопасности разработчиков призывают сохранять бдительность. Базовая мера защиты — включить многофакторную аутентификацию для учётных записей и не пренебрегать прочими средствами безопасности.

Сценарий атаки хорошо знаком по инцидентам последних лет: фальшивое предложение работы, дружелюбный собеседник на видеосвязи и просьба «доустановить» что-то ради корректной связи. Ставка делается не на технические уязвимости, а на доверие и спешку самого разработчика. Для экосистемы, где компрометация одного аккаунта с правами на популярный пакет способна затронуть тысячи зависимых проектов, риск особенно высок — поэтому предупреждение адресовано в первую очередь тем, чьи подписи и учётные записи имеют вес в цепочке поставок кода.

Источник: Phoronix