Rust 社区近期提醒，攻击者正在针对 rust-lang 成员以及热门 crate 的维护者发起定向攻击，目标是入侵开发者的设备和账号，再利用这些受信任身份发布恶意软件。攻击不一定从明显的钓鱼邮件开始，也可能伪装成一次正常的面试、项目讨论或合同洽谈。
对开源维护者来说，这类攻击尤其危险：一个被接管的 crates.io 账号、GitHub 账号或开发机，可能影响大量下游用户。因此，近期面对陌生邀约时，需要把“对方看起来像一家真实公司”与“这次沟通安全可信”分开判断。
攻击链：一次视频通话如何变成入侵入口
目前披露的模式通常包含几个环节：
- 冷启动联系：攻击者通过邮件、社交平台或职业网络发起联系，包装成工作机会、项目合作或合同邀请。
- 伪造可信背景：他们可能创建刚成立但看似合理的公司资料，包括完整的 LinkedIn 页面和员工信息，以通过快速检查。
- 把目标带到不熟悉的平台：对方要求安装某个视频会议客户端，或者在通话过程中声称缺少音频编解码器。
- 诱导安装或执行命令：目标可能被要求下载“修复工具”、安装所谓的 codec，甚至把一段命令复制到终端执行。命令可能已经被放入剪贴板，降低目标的警觉。
- 利用被接管身份扩散：一旦设备或账号失守，攻击者就可能利用维护者的信誉发布恶意 crate、修改项目内容或继续攻击其联系人。
这里的关键并不是某一个特定会议软件，而是“正当场景 + 紧迫操作 + 受信任身份”这组组合。面试和合作本身都很正常，但正常的会议不应该要求你临时关闭安全控制、执行陌生命令或安装来源不明的软件。
把视频会议变成自己的可控入口
与陌生人通话时，建议优先使用自己已经在使用的平台，并由自己创建会议。这样可以减少临时安装软件、访问陌生域名和授予新应用权限的机会。
可以采用下面的沟通规则：
- 不因为对方声称“音频无法工作”就安装陌生 codec、插件或远程控制工具。
- 不在终端粘贴对方提供的命令，尤其是包含
curl、wget、bash、sh、sudo、chmod或编码字符串的命令。 - 对方如果要求你关闭杀毒软件、绕过系统提示或使用管理员权限，应立即暂停沟通并独立核验。
- 使用公司或项目的已知联系方式回拨，不要只回复邀约消息中提供的地址和电话。
- 通过多个独立信号验证对方：公司域名、公开项目、长期存在的员工账号，以及能从官方渠道确认的联系人。
“对方有 LinkedIn 页面”只能证明有人创建了一个页面，不能证明邀约真实。新账号、新公司和过于急迫的流程，都应提高风险等级。
在开发机和账号上做一次低成本复查
以下命令适用于 Linux 或 macOS，作用是帮助你快速查看当前主机身份、近期登录记录、Git 配置和 shell 历史。它们不会自动修复系统，也不会上传数据；执行前请确认自己理解每条命令的输出。不同系统可能没有 last 或使用不同的历史文件。
#!/usr/bin/env bash
set -u
echo "== host =="
date
whoami
hostname
uname -a
echo "== recent logins, if available =="
if command -v last >/dev/null 2>&1; then
last -n 5
else
echo "last command is not available on this system"
fi
echo "== global Git identity =="
git config --global --get user.name || true
git config --global --get user.email || true
echo "== recent shell commands: inspect manually =="
if [ -f "$HOME/.bash_history" ]; then
tail -n 30 "$HOME/.bash_history"
elif [ -f "$HOME/.zsh_history" ]; then
tail -n 30 "$HOME/.zsh_history"
else
echo "shell history file not found"
fi
如果历史中出现自己不记得执行过的下载、解码、权限修改或远程脚本命令，不要继续运行这些命令，也不要只删除历史记录来“清理痕迹”。先断开不必要的网络连接，保存相关信息，并从另一台可信设备修改重要账号密码。
账号侧至少复查以下项目：
- crates.io、GitHub、邮件和密码管理器是否启用了 MFA，优先使用硬件安全密钥或可信认证器。
- 登录记录、活动会话、OAuth 应用、SSH key、API token 和恢复邮箱是否出现异常。
- 是否有不认识的 crate 发布、版本更新、组织成员、仓库协作者或 CI secret 变更。
- 开发机上是否安装了近期不记得安装的软件，系统启动项和浏览器扩展是否发生变化。
如果怀疑 crates.io 账号异常，应联系 help@crates.io；其他 Rust 生态或 rust-lang 相关安全问题，可联系 security@rust-lang.org。不要把可疑命令继续转发给同事，也不要在公开 issue 中粘贴 token、私钥或完整日志。
给维护者的一份近期行动清单
可以把下面几项加入项目维护流程：
- 为发布 crate 的账号启用 MFA，并定期检查会话和 token。
- 将发布权限限制在少数维护者，避免共享账号。
- 为发布流程使用短期凭证或受限 token，并把轮换步骤写入文档。
- 在团队中约定：陌生邀约不要求临时安装软件；任何命令执行都必须经过独立审阅。
- 在参加新联系人发起的会议前，先用官方域名或已知渠道确认身份。
- 一旦怀疑设备被入侵，不要继续用该设备重置所有密码；使用可信设备处理账号恢复，并保留事件时间线。
这类攻击利用的是开发者的时间压力、礼貌和社区信任，而不只是某个软件漏洞。近期最有效的防御动作并不复杂：自己创建会议、拒绝未知安装、拒绝盲目粘贴命令、复查 MFA 和登录活动。对维护者而言，短暂地暂停一次“看起来很好的机会”，通常比事后处理被接管的发布账号和受污染的供应链成本低得多。