Se advierte a los habitantes de Rustace de las entrevistas de trabajo con contenido malicioso

El pro­yec­to Rust ha ad­ver­ti­do de que los ata­can­tes pa­re­cen estar di­ri­gien­do sus ata­ques con­tra sus co­la­bo­ra­do­res y pro­pie­ta­rios de cra­tes con el ob­je­ti­vo de com­pro­me­ter sus dis­po­si­ti­vos y cuen­tas, lo que po­dría per­mi­tir la dis­tri­bu­ción de malwa­re a tra­vés de su eco­sis­te­ma de pa­que­tes. En una en­tra­da pu­bli­ca­da en el blog de Rust, el in­ge­nie­ro de soft­wa­re es­pe­cia­li­za­do en se­gu­ri­dad Adam Har­vey afir­mó que las tác­ti­cas se ase­me­jan a las uti­li­za­das en las cam­pa­ñas de fal­sos re­clu­ta­do­res de Corea del Norte. «Se or­ga­ni­za una vi­deo­lla­ma­da con un mo­ti­vo po­si­ti­vo —quizá para un tra­ba­jo, quizá para un pro­yec­to, quizá para una opor­tu­ni­dad de con­tra­to— y luego se uti­li­za como vec­tor para con­se­guir que la víc­ti­ma ins­ta­le algo en su or­de­na­dor (como un códec de audio su­pues­ta­men­te fal­tan­te) o eje­cu­te otro co­man­do (por ejem­plo, co­lo­can­do un co­man­do en el por­ta­pa­pe­les)», es­cri­bió Har­vey. «Estos ata­can­tes están crean­do per­fi­les de em­pre­sa nue­vos, pero que pa­re­cen le­gí­ti­mos, in­clu­yen­do per­fi­les ve­ro­sí­mi­les en Lin­ke­dIn, con el fin de pasar una ins­pec­ción su­per­fi­cial». La ad­ver­ten­cia se pro­du­ce tras va­rios ata­ques di­ri­gi­dos a la co­mu­ni­dad de Rust du­ran­te el ve­rano. En junio, los de­sa­rro­lla­do­res de Rust fue­ron ob­je­to de fal­sas pro­pues­tas de en­tre­vis­ta que su­pues­ta­men­te pro­ce­dían de una em­pre­sa de ca­pi­tal ries­go de Sin­ga­pur. Matt Mas­trac­ci, que man­tie­ne pa­que­tes en el re­gis­tro cra­tes.io de Rust, afir­mó que la su­pues­ta em­pre­sa de se­lec­ción de per­so­nal re­sul­tó no exis­tir. No obs­tan­te, el con­tac­to ini­cial pa­re­cía con­vin­cen­te y es­tu­vo a punto de pro­vo­car que su or­de­na­dor se in­fec­ta­ra con un tro­yano de ac­ce­so re­mo­to (RAT). El in­ten­to de im­ple­men­ta­ción de un RAT se ase­me­ja a la ac­ti­vi­dad des­cri­ta en un aviso in­ter­na­cio­nal pu­bli­ca­do la se­ma­na pa­sa­da por or­ga­nis­mos de Aus­tra­lia, Ale­ma­nia, Japón y EE. UU. El aviso in­di­ca­ba que ope­ra­do­res nor­co­rea­nos ha­bían uti­li­za­do en­tre­vis­tas de tra­ba­jo fal­sas para com­pro­me­ter más de 30 000 dis­po­si­ti­vos y robar más de 10 mi­llo­nes de dó­la­res. Por otra parte, el eco­sis­te­ma de pa­que­tes de Rust su­frió un ata­que a la ca­de­na de su­mi­nis­tro en agos­to, cuan­do se pu­bli­ca­ron ver­sio­nes ma­li­cio­sas del crate `array­ref` que des­car­ga­ban malwa­re en los equi­pos de los usua­rios. `Array­ref` había re­gis­tra­do 245 mi­llo­nes de des­car­gas a lo largo de su vida útil, aun­que las ver­sio­nes ma­li­cio­sas es­tu­vie­ron dis­po­ni­bles du­ran­te menos de dos horas. Las prue­bas su­ge­rían que se ha­bían com­pro­me­ti­do las cre­den­cia­les de un man­te­ne­dor, en lugar de que el malwa­re hu­bie­ra sido in­tro­du­ci­do de­li­be­ra­da­men­te por los de­sa­rro­lla­do­res del pro­yec­to. Har­vey instó a los «Rus­ta­ceans» a exa­mi­nar mi­nu­cio­sa­men­te cual­quier con­tac­to no so­li­ci­ta­do, in­clu­so cuan­do el re­mi­ten­te pa­rez­ca le­gí­ti­mo, y a rea­li­zar lla­ma­das a tra­vés de pla­ta­for­mas de con­fian­za. ®…