Атакуващите са насочили вниманието си към членове на проекта Rust и поддържащите съответните популярни crates („крейтове“ – библиотеки с код на Rust), като им предлагат привлекателни възможности, за да компрометират техните устройства и профили и в крайна сметка да публикуват зловреден код.

Предупреждението дойде миналата седмица от екипа на crates.io към проекта Rust и работната група за реакция при инциденти със сигурността, описвайки повтарящ се модел: мишената бива поканена на видеоразговор, представен като възможност за работа, договор или съвместна дейност, след което бива подтикната да инсталира нещо или да изпълни команда, предоставена от атакуващия.

„Тези атакуващи създават нови, но изглеждащи легитимни фирмени профили, включително достоверно присъствие в LinkedIn, за да преминат бегъл преглед“, обяснява Адам Харви, софтуерен разработчик в Rust Foundation.

Разработчиците на Rust бяха засегнати от подобна вълна през юни, а миналия месец библиотеката arrayref беше за кратко компрометирана чрез същия тип атака, но все още е трудно да се каже дали тази последна атака е част от същата кампания.

Запознайте се с Contagious Interview (известна още като WaterPlum)

Разработчиците на Rust не са единствените, които биват атакувани чрез този подход: други софтуерни разработчици, поддържащи пакети, уеб разработчици, ИТ специалисти и търсещи работа като цяло също са в опасност.

Този подход е популярен сред подкрепяните от държавата севернокорейски атакуващи: така наречената група от злонамерени субекти Contagious Interview (известна още като WaterPlum), която се стреми към криптовалута, идентификационни данни за всички видове профили, интелектуална собственост, достъп до конкретни организации и други.

Тези атаки продължават от години и само ден след предупреждението на Rust международните власти заявиха, че между декември 2025 г. и юли 2026 г. групата е инфектирала над 30 000 устройства в повече от 100 държави и е откраднала средства или данни за достъп от над 7 000 портфейла за криптовалута.

Те също така установиха, че хакерите от Contagious Interview и операцията с ИТ работници от Северна Корея споделят обща инфраструктура и персонал.

От директно съобщение до компрометиране

Атакуващите от Contagious Interview се насочват към отделни лица и обикновено се представят за фирмени рекрутъри, често от достоверно изглеждащи компании за изкуствен интелект (AI), блокчейн или NFT.

  • Свързват се с мишените си през LinkedIn, социалните мрежи или онлайн платформи за работа.
  • Убеждават мишените да участват в онлайн интервю (обикновено с практическа задача за писане на код) или в общ разговор за проучване на възможности за сътрудничество.
  • Използват различни трикове – технически затруднения, изисквания за интервюто и др. – за да убедят жертвите да изпълнят злонамерен код, да инсталират зловреден софтуер или да въведат данните си за достъп в страница, създадена да ги предаде на атакуващите.

„Откраднатите идентификационни данни могат да бъдат използвани за източване на крипто активи, лични данни, търговски тайни и др. от работодателите, клиентите или договарящите страни на жертвите. Атакуващите могат също така да използват откраднатата чувствителна информация за изнудване“, предупредиха японските, американските, австралийските и германските власти.

Откраднатите самоличности захранват и схемата с ИТ работници на Северна Корея, помагайки за пренасочването на заплати към санкционирания режим.

ИТ работниците от КНДР биват назначавани на дистанционни позиции, използвайки откраднати самоличности, кандидатстват за работа с реални LinkedIn профили на подправените лица и плащат на подставени лица да стоят пред камерата, докато им подсказват отговорите и управляват компютъра им по време на интервютата за работа.

Когато получат работата, операторите на „ферми за лаптопи“ им помагат да поддържат илюзията, че се намират в същата държава като лицата, за които се представят.

Какво могат да направят разработчиците

Най-ефективната защита е контролът върху условията на първоначалния контакт. Препоръката на Rust призовава поддържащите софтуера да бъдат внимателни към непоискани запитвания и, когато е възможно, сами да организират разговора, вместо да приемат линк от някого, с когото току-що са се „запознали“.

  • Проверявайте рекрутърите и компаниите независимо и подробно.
  • Разглеждайте всяко искане за инсталиране на софтуер или изпълнение на команда като тревожен сигнал (червен флаг), независимо колко рутинно звучи („инсталирайте този кодек“, „просто изпълнете това, за да коригирате настройките си“, „клонирайте хранилището и стартирайте билда“).
  • Изпълнявайте задачи за вкъщи или непознат код само в еднократна виртуална машина или изолирана среда (пясъчник), никога на устройството, където съхранявате идентификационни данни, ключове или материали за подписване.
  • Избягвайте изпълнението на скриптове, ако не разбирате точно какво правят.
  • Избягвайте отварянето на непознати VSCode проекти (или ги отваряйте в „Restricted Mode“).

Харви също така съветва разработчиците на Rust да активират многофакторна автентификация за профилите си и да прегледат последните влизания в платформите, които ги показват. Засегнатите лица трябва да се свържат с екипа на Crates.io или с екипа по сигурността на проекта Rust за съдействие.

Какво могат да направят компаниите

Организациите са изправени пред заплахата от две страни: техните разработчици могат да бъдат компрометирани, а процесът им по подбор на персонал може да бъде използван за привличане на ИТ работници от Северна Корея.

Препоръката на международните власти обръща внимание и на двата риска.

От техническа страна се препоръчва внедряването на инструменти за Endpoint Detection and Response (EDR) за засичане и блокиране на злонамерено поведение, както и прилагането на споменатите по-горе предупреждения за VS Code и непознат код върху корпоративните устройства.

Относно подбора на персонал препоръката изброява мерки за подбор, извлечени от реален случай, при който японска борса е разкрила и отхвърлила заподозрян оперативен агент:

  • Бъдете разтревожени, когато позиция с обичайно малък брой кандидати внезапно привлече множество молби.
  • Проверявайте дали IP адресът на кандидата съвпада с посоченото от него местоположение.
  • Проверявайте данните за контакт и потвърждавайте сертификатите.
  • По време на интервютата молете кандидатите да обяснят в детайли уменията от автобиографията си и задавайте въпроси за родния им град, местното време или хобита, на които за самозванец би било трудно да отговори.
  • Разглеждайте исканията за плащане в криптовалута или пренасочването на възнаграждението към сметка на друго име като предупредителни знаци.
  • Следете за нежелание за лична среща, чести прекъсвания на звука или видеото, фонови гласове и често гледане към втори екран. Операторите също така са използвали AI за подмяна на лица (face-swapping), след което са спирали видеото след няколко минути, позовавайки се на проблеми с връзката.

След като някой вече е в организацията, препоръката набляга на ограничаването на щетите: ограничете достъпа до изходния код, данните за достъп и системите до необходимия минимум, а ако установите, че даден изпълнител или подизпълнител може да е ИТ работник от Северна Корея, незабавно прекратете профилите и сесиите му и се свържете с правоприлагащите органи (тъй като съзнателното плащане на тези работници само по себе си може да наруши санкциите).