Rust 프로젝트는 악의적인 행위자들이 가짜 인터뷰를 통해 커뮤니티 참가자와 패키지 소유자를 대상으로 장치를 손상시키고 악성 소프트웨어를 배포하고 있다고 보고했습니다. Rust 팀 블로그에서 보안 엔지니어 아담 하비는 이러한 공격 전술이 북한의 리크루터 사칭과 유사하다고 언급했습니다. "비디오 통화는 긍정적인 무언가를 위해 설정됩니다 – 예를 들어, 일자리, 프로젝트, 계약 기회 등으로, 그런 다음 대상이 컴퓨터에 무언가를 설치하거나 다른 명령을 실행하도록 유도하는 벡터로 사용됩니다," – 라고 하비는 썼습니다.
위험에 대한 경고는 여름 동안 Rust 커뮤니티에 대한 여러 공격이 발생한 가운데 나왔습니다. 6월에 Rust 개발자들은 싱가포르의 벤처 캐피탈 회사로부터 온 것처럼 보이는 가짜 인터뷰 제안을 받았습니다. crates.io 레지스트리에서 패키지를 지원하는 매트 마스트라치는 이 제안을 제공한 회사가 비활성 상태였지만 초기 접근은 설득력 있게 보였고 그의 장치가 원격 액세스 트로이 목마에 감염될 뻔했다고 밝혔습니다.
RAT 배포 시도는 지난주 호주, 독일, 일본, 미국의 기관들이 발행한 국제 경고에서 보고된 활동을 상기시킵니다. 이 경고에서는 북한의 운영자들이 가짜 인터뷰를 사용하여 30,000개 이상의 장치를 손상시키고 1,000만 달러 이상을 탈취했다고 주장합니다. 별도로, Rust 패키지 생태계는 8월에 공급망 공격을 받았으며, 이때 arrayref 패키지의 복제 버전이 게시되어 사용자 장치에 악성 소프트웨어를 다운로드했습니다. arrayref 패키지는 역사적으로 2억 4,500만 번 다운로드되었지만, 악성 릴리스는 2시간 미만 동안만 이용 가능했습니다. 증거는 지원 개발자 중 한 명의 자격 증명이 손상되었음을 나타내며, 프로젝트 개발자들이 악성 소프트웨어를 의도적으로 삽입한 것은 아닙니다. 하비는 Rust 커뮤니티 참가자들에게 발신자가 합법적으로 보이더라도 요청하지 않은 접근을 주의 깊게 검토하고 신뢰할 수 있는 플랫폼을 통해 통화를 수행할 것을 권장했습니다.
관련 도움말
