Rust cảnh báo chiến dịch tuyển dụng giả mạo gài mã độc
"The Rust project warned that attackers are targeting crate owners and contributors with fake job interview and recruitment lures that use plausible company profiles and video calls to deliver malware or trick victims into running commands. The campaign resembles North Korean fake recruiter activity and follows earlier Rust ecosystem incidents, including a June interview scam and an August supply-chain attack involving malicious arrayref crate releases; no CVE was cited."
Nguy cơ chiếm quyền thiết bị/tài khoản và phát tán mã độc qua hệ sinh thái gói. Chiến dịch tận dụng tuyển dụng giả mạo để lừa người dùng tự cài đặt hoặc chạy lệnh độc hại.
Có thể ảnh hưởng tới nhà phát triển, maintainer và chuỗi cung ứng phần mềm. Doanh nghiệp dùng Rust/crates.io cần tăng kiểm tra liên hệ bên ngoài và quy trình xác minh.
Dự án Rust cảnh báo các crate owner và cộng tác viên đang bị nhắm tới bằng các lời mời phỏng vấn xin việc và tuyển dụng giả mạo. Kẻ tấn công dựng các hồ sơ công ty có vẻ hợp lệ, thậm chí có hiện diện trên LinkedIn, để vượt qua kiểm tra sơ bộ và dẫn nạn nhân vào các cuộc gọi video được chuẩn bị sẵn bẫy.
Theo cảnh báo, mục tiêu cuối cùng là khiến nạn nhân cài phần mềm không mong muốn, chẳng hạn một codec âm thanh giả mạo, hoặc thực thi lệnh do đối tượng tấn công cung cấp, ví dụ thông qua nội dung sao chép vào clipboard. Cách thức này được cho là tương tự các chiến dịch tuyển dụng giả từng được ghi nhận liên quan tới Triều Tiên.
Sự việc diễn ra sau một loạt vụ việc trong hệ sinh thái Rust, gồm chiến dịch lừa đảo phỏng vấn hồi tháng 6 và vụ tấn công chuỗi cung ứng vào tháng 8 với các bản phát hành độc hại của crate arrayref. Dù không có CVE nào được nêu, rủi ro vẫn đáng chú ý vì có thể dẫn tới lây nhiễm RAT hoặc phát tán mã độc qua hệ sinh thái gói.
Khuyến nghị: kiểm tra kỹ mọi liên hệ tuyển dụng không chủ động, xác minh danh tính qua kênh độc lập, và chỉ tham gia cuộc gọi trên nền tảng tin cậy. Không cài đặt tệp hoặc chạy lệnh theo yêu cầu từ bên ngoài nếu chưa xác thực đầy đủ.