تیم پروژه Rust اخیراً در مورد یک کمپین مهندسی اجتماعی (Social Engineering) فعال هشدار داده است که هدف آن اعضای تیم Rust-lang و مالکان بسته‌های محبوب (Crates) است. هدف نهایی این حملات، سرقت اعتبارنامه‌های توسعه‌دهندگان (Developer Credentials) و انتشار بسته‌های مخرب در زنجیره تأمین است.
روال حمله و متدهای فریب
بر اساس گزارش تیم crates.io و گروه واکنش امنیتی، مهاجمان با تظاهر به ارائه فرصت‌های شغلی یا قراردادهای کاری، اهداف خود را به تماس‌های ویدئویی ترغیب می‌کنند. در طول این تماس‌ها، کاربر با روش‌های زیرe فریب داده می‌شود:
- نصب نرم‌افزارهای جعلی: متقاعد کردن کاربر به نصب یک نرم‌افزار با بهانه نبود کدک صوتی (Audio Codec).
- اجرای کدهای مخرب: ترغیب کاربر به اجرای کدهایی که توسط مهاجم در کلیپ‌بورد (Clipboard) او قرار داده شده است.
برای افزایش اعتبار، مهاجمان شرکت‌های جعلی ایجاد کرده و صفحات لینکدین (LinkedIn) متقاعدکننده‌ای طراحی می‌کنند تا در نگاه اول معتبر به نظر برسند.
ارتباط با تهدیدات پیشین و بازیگران تهدید
تیم Rust این فعالیت‌ها را با دو حادثه قبلی مرتبط می‌داند؛ از جمله حملاتی در ماه ژوئن و نفوذ به بسته arrayref در ماه اوت. گزارش‌های پیشین حوادث مشابه، به‌ویژه در مورد arrayref، نشان‌دهنده دخالت بازیگران تهدید کره شمالی (North Korean threat actors) بوده است. اگرچه در هشدار جدید نام بازیگر خاصی ذکر نشده، اما اشاره شده که این سبک از حملات در تاریخچه فعالیت‌های کره شمالی و سایر جوامع توسعه‌دهنده مشاهده شده است.
توصیه‌های امنیتی برای توسعه‌دهندگان
به منظور مقابله با این تهدیدات، توسعه‌دهندگان باید موارد زیر را رعایت کنند:
- احتیاط در ارتباطات: نسبت به درخواست‌های ناخواسته و مشکوک هوشیار باشند.
- استفاده از پلتفرم‌های مورد اعتماد: تماس‌ها را تنها در پلتفرم‌هایی برگزار کنند که خودشان مدیریت یا به آن‌ها اعتماد دارند.
- پایش حساب‌ها: بررسی دوره‌ای حساب‌های کاربری برای شناسایی هرگونه فعالیت غیرعادی.
- تقویت احراز هویت: فعال‌سازی اجباری احراز هویت چندعاملی (MFA) و بررسی تاریخچه ورودهای ناشناخته.
