Cảnh báo: Các lập trình viên Rust đang trở thành mục tiêu của các cuộc tấn công tinh vi

17 tháng 9 năm 2026 - Link Blog

Hãy cảnh giác: các cuộc tấn công có chủ đích nhắm vào những Rustacean nổi bật. Cảnh báo quan trọng từ Adam Harvey và đội ngũ bảo mật crates:

Chúng tôi tin rằng đang có một chiến dịch nhắm vào các thành viên rust-lang và chủ sở hữu của các crate phổ biến, nhằm chiếm quyền kiểm soát thiết bị và tài khoản để sử dụng chúng cho việc phát tán phần mềm độc hại.

Một cuộc gọi video được thiết lập với lý do tích cực — có thể là vì công việc, vì một dự án, hoặc một cơ hội hợp tác — và sau đó nó được sử dụng làm phương thức để lừa nạn nhân cài đặt thứ gì đó vào máy tính (ví dụ như một codec âm thanh được cho là còn thiếu) hoặc thực thi một lệnh khác (ví dụ: thông qua việc dán một lệnh vào clipboard).

Tháng trước, thủ thuật này đã được sử dụng trong một cuộc tấn công chuỗi cung ứng thành công nhắm vào crate array ref, cùng một số crate khác.

Bất kỳ phần mềm nào phụ thuộc vào mã nguồn mở (tức là hầu hết mọi phần mềm hiện nay) đều có một mạng lưới con người là các vectơ tấn công tiềm năng - đó là tất cả những ai có quyền xuất bản đối với bất kỳ gói nào trong mạng lưới phụ thuộc của phần mềm đó.

Tôi cho rằng biện pháp phòng thủ tốt nhất của chúng ta hiện nay là "thời gian chờ phụ thuộc" (dependency cooldowns) - hãy đợi vài ngày trước khi nâng cấp lên các bản phát hành gói mới, với hy vọng rằng những cuộc tấn công chuỗi cung ứng như thế này sẽ bị người khác phát hiện ra.