Rust供应链攻击

RecodeX 重构消息，Rust crates安全团队与Adam Harvey发出警告，称存在一场针对rust-lang成员及热门crate所有者的持续攻击活动，目的是入侵其设备与账号，进而利用其发布权限投放恶意软件。攻击者以视频通话为诱饵，假借工作、项目或合同机会，诱导目标安装伪装成缺失音频编解码器的程序，或通过剪贴板执行命令。上个月这一手法已被用于对arrayref等crate的成功供应链攻击。团队建议采用依赖冷却期，即新版本发布后等待数日再升级，以降低供应链风险。

RecodeX 重构消息，安全研究人员发现，与Solana相关的依赖链中混入了恶意Rust crate，这些包在构建过程中执行远程载荷，危及开发者机器和CI主机安全。攻击者利用供应链投毒手段，影响依赖这些包的开发环境。目前尚无具体受影响项目或用户数量的官方统计，但建议开发者审查依赖来源并更新至安全版本。