Rust 社区警惕针对维护者的定向攻击

Rust 生态近期出现针对核心成员和热门 crate 维护者的定向攻击活动。安全团队提醒，攻击者的目标可能是入侵开发者设备或账号，进而利用其发布权限上传恶意软件包。

攻击方式：以“正面机会”为诱饵

这类攻击通常会先包装成看似正常、积极的沟通场景，例如：

• 工作机会
• 项目合作
• 合同外包
• 技术交流或面试

随后，攻击者会安排视频通话，并在通话过程中诱导目标执行危险操作，例如：

• 安装所谓“缺失的音频编解码器”或其他软件；
• 运行某条命令；
• 通过剪贴板植入命令，让目标误以为自己复制的是正常内容。

一旦攻击成功，维护者的设备或账号可能被控制，攻击者就有机会借助其发布权限向包仓库投放恶意版本。

已出现成功案例

上个月，类似手法已经被用于一次成功的供应链攻击，其中包括针对 arrayref crate 的攻击。这表明此类威胁并非理论风险，而是已经在开源生态中造成了实际影响。

开源供应链的薄弱点是“人”

任何依赖开源软件的软件，几乎都会间接依赖一张由维护者、发布者和包权限组成的网络。

这意味着：

• 不只是核心项目维护者可能成为目标；
• 任何拥有依赖链中某个包发布权限的人，都可能成为攻击入口；
• 攻击者不一定需要攻破基础设施，攻破一个有发布权限的账号就可能足够。

对于现代软件来说，开源依赖链越长，潜在的人为攻击面也越大。

一个现实防御思路：依赖冷却期

目前较实际的缓解方式之一，是对新发布的依赖版本设置“冷却期”：不要在新版本刚发布后立即升级，而是等待几天。

这样做的目的不是阻止攻击发生，而是给社区留出发现异常的时间。如果某个新版本包含恶意代码，其他用户、安全研究人员或自动化扫描系统可能会在这段时间内发现问题。

给维护者和开发团队的提醒

• 对突然出现的工作、合同、项目邀请保持警惕；
• 视频会议中不要安装来历不明的软件或插件；
• 不要复制并执行对方提供的命令，尤其是通过聊天、网页或剪贴板传递的命令；
• 对拥有发布权限的账号启用强认证措施；
• 对关键依赖升级流程增加审核和延迟机制；
• 对依赖链中的热门包和高权限维护者风险保持关注。

这类攻击的重点并不在某一种语言或工具，而在开源供应链中的信任关系。Rust 社区当前的案例提醒所有依赖开源生态的软件团队：维护者账号安全，已经是供应链安全的一部分。