نقطه ورود انسانی: چرا هشدار امنیتی تازه Rust از بیرون Cargo آغاز می‌شود

پروژه Rust هشداری مشخص برای نگه‌دارندگان، صاحبان crate و دیگر اعضای شناخته‌شده اکوسیستم Rust منتشر کرده است: به نظر می‌رسد کارزاری در جریان تلاش می‌کند دستگاه‌ها و حساب‌های آن‌ها را به خطر بیندازد و سپس از این دسترسی برای انتشار بدافزار استفاده کند.

حمله گزارش‌شده خارج از رجیستری بسته‌ها آغاز می‌شود. یک پیشنهاد شغلی، پروژه‌ای یا قراردادیِ ناخواسته به تماس ویدیویی منتهی می‌شود. در جریان تماس ممکن است از هدف خواسته شود یک کدک صوتیِ ظاهراً مفقود را نصب کند یا فرمانی را که در کلیپ‌بورد قرار گرفته اجرا کند. این کارزار همچنین از پروفایل‌های شرکتی تازه‌ساخته و حضورهای باورپذیر در LinkedIn استفاده می‌کند؛ بنابراین بررسی سریعِ اعتبار طرف مقابل دیگر قابل اتکای کامل نیست.

در نتیجه، نخستین مرز امنیتی، انسانی و رویه‌ای است. نگه‌دارندگان باید ارتباطات سرد و ناخواسته را تا زمان راستی‌آزمایی مستقل، غیرقابل اعتماد فرض کنند. برای افراد تازه‌آشنا، پروژه Rust استفاده از پلتفرمی را توصیه می‌کند که نگه‌دارنده از قبل به آن اعتماد دارد و ترجیحاً خودش تماس را در آن تنظیم کند. درخواست نصب نرم‌افزار، چسباندن فرمان در ترمینال یا کنار گذاشتن روند معمول باید به‌عنوان تلاش احتمالی برای نفوذ تلقی شود.

بازبینی حساب، مرز دوم است. نگه‌دارندگان Rust و صاحبان crate باید فعال بودن احراز هویت چندمرحله‌ای را بررسی کنند، گزارش ورودهای غیرمنتظره را در پلتفرم‌هایی که چنین گزارشی ارائه می‌دهند ببینند و نشست‌ها یا تغییرات ناآشنا را بررسی کنند. این اقدامات مهم‌اند، چون یک حساب سرقت‌شده می‌تواند به کانال انتشار تبدیل شود؛ حتی اگر کد نگه‌دارنده و پروژه محلی او در حالت عادی سالم باشند.

هشدار فعلی عمداً محدود است: قربانیان، مهاجم یا خانواده بدافزار را نام نمی‌برد و شاخص‌های نفوذ منتشر نمی‌کند. هشدارهای جداگانه RustSec نشان می‌دهند انتشار crate مخرب یک خطر واقعی برای اکوسیستم است؛ از جمله حذف نسخه‌های آلوده arrayref و append-only-vec در اوت ۲۰۲۶. بااین‌حال، این هشدارها ثابت نمی‌کنند که این کارزارها یکسان‌اند. بنابراین پاسخ عملی باید پیشگیری و گزارش سریع باشد، نه انتساب حمله.

نگرانی درباره حساب crates.io باید به help@crates.io ارسال شود. سایر نگرانی‌های امنیتی باید به security@rust-lang.org گزارش شوند. درس اصلی برای نگه‌دارندگان ساده است: یک حساب انتشار مورد اعتماد می‌تواند پیش از آن‌که Cargo اصلاً اجرا شود، هدف حمله قرار گیرد.

توضیح احتیاطی: اطلاعیه پروژه Rust قربانیان، مهاجمان، خانواده بدافزار یا شاخص‌های نفوذ را مشخص نمی‌کند؛ بنابراین این مقاله درباره انتساب یا شناسایی اختصاصی حادثه ادعایی مطرح نمی‌کند.