Rustaceans در مورد مصاحبه های شغلی با بار مخرب هشدار دادند

پروژه Rust هشدار داده است که به نظر می رسد مهاجمان مشارکت کنندگان و صاحبان جعبه را در تلاش برای به خطر انداختن دستگاه ها و حساب های آنها هدف قرار می دهند و به طور بالقوه اجازه می دهند بدافزار از طریق اکوسیستم بسته آن توزیع شود. آدام هاروی، مهندس نرم‌افزار متمرکز بر امنیت، با ارسال پستی در وبلاگ Rust گفت که این تاکتیک‌ها شبیه تاکتیک‌هایی است که در کمپین‌های استخدام جعلی کره شمالی استفاده می‌شود.

هاروی می‌نویسد: «یک تماس ویدیویی برای چیز مثبتی تنظیم می‌شود - شاید برای یک کار، شاید برای یک پروژه، شاید برای یک فرصت قرارداد - و سپس از آن به‌عنوان بردار استفاده می‌شود تا هدف را وادار به نصب چیزی بر روی رایانه خود کند (مانند یک کدک صوتی که ظاهرا گم شده است) یا دستور دیگری را اجرا کند (مثلا از طریق قرار دادن یک دستور در کلیپ بورد). این مهاجمان برای گذراندن بازرسی گذرا، پروفایل‌های شرکتی جدید اما به ظاهر قانونی، از جمله حضور قابل قبول لینکدین را ایجاد می‌کنند.» این اخطار بدنبال حملات متعددی است که جامعه Rust را در تابستان هدف قرار داده است.

در ماه ژوئن، توسعه‌دهندگان Rust با رویکردهای مصاحبه جعلی که ادعا می‌شد از یک شرکت سرمایه‌گذاری خطرپذیر سنگاپوری آمده بودند، هدف قرار گرفتند. مت ماستراکی، که بسته‌ها را در رجیستری Rust.io نگهداری می‌کند، گفت که ظاهرا کسب‌وکار استخدام‌کننده منحل شده است. رویکرد اولیه با این وجود قانع کننده به نظر می رسید و تقریبا منجر به آلوده شدن دستگاه او به یک تروجان دسترسی از راه دور (RAT) شد. تلاش برای استقرار یک RAT شبیه فعالیتی است که در مشاوره بین‌المللی هفته گذشته توسط آژانس‌هایی در استرالیا، آلمان، ژاپن و ایالات متحده صادر شد.

در این مشاوره آمده است که اپراتورهای کره شمالی از مصاحبه های شغلی جعلی برای به خطر انداختن بیش از 30000 دستگاه و سرقت بیش از 10 میلیون دلار استفاده کرده اند. به طور جداگانه، اکوسیستم بسته Rust در ماه آگوست با یک حمله زنجیره تامین مواجه شد، زمانی که نسخه های مخرب جعبه arrayref منتشر شد که بدافزار را بر روی ماشین های کاربران دانلود می کرد. Arrayref در طول عمر خود 245 میلیون بار دانلود کرده بود، اگرچه نسخه های مخرب کمتر از دو ساعت در دسترس بودند.

شواهد حاکی از آن است که اعتبار یک نگهدارنده به جای اینکه بدافزار عمدا توسط توسعه دهندگان پروژه معرفی شود، به خطر افتاده است. هاروی از Rustaceans خواست تا رویکردهای ناخواسته را حتی زمانی که فرستنده قانونی به نظر می رسد، بررسی کنند و تماس ها را از طریق پلتفرم های قابل اعتماد انجام دهند. ®