Waarschuwing voor gerichte aanvallen op prominente Rust-ontwikkelaars

Op 17 september 2026 hebben Adam Harvey en het crates security team een dringende waarschuwing uitgegeven over gerichte aanvallen op prominente leden van de Rust-gemeenschap en eigenaren van populaire Rust-pakketten. Deze campagne heeft als doel apparaten en accounts te compromitteren, zodat aanvallers malware kunnen publiceren. De waarschuwing richt zich op leden van rust-lang en beheerders van veelgebruikte crates als primaire doelwitten.

De aanvallers zetten video-oproepen op, gepresenteerd als positieve kansen, zoals sollicitatiegesprekken of project-samenwerkingen. Tijdens deze gesprekken proberen ze slachtoffers te overtuigen om software te installeren, zoals een zogenaamd ontbrekende audio-codec. In andere gevallen vragen ze de doelwitten om een commando uit te voeren, bijvoorbeeld door het commando in het klembord te plaatsen. Het doel is om toegang te krijgen tot de machine van een maintainer of een account over te nemen.

Vorige maand werd deze tactiek met succes gebruikt in een supply chain-aanval op de arrayref crate, wat aantoont dat deze methode kan leiden tot daadwerkelijk gecompromitteerde releases binnen het Rust-ecosysteem. In plaats van alleen technische exploits te gebruiken, maken de aanvallers gebruik van menselijk vertrouwen en de privileges die verbonden zijn aan het publiceren van pakketten. Dit incident heeft zorgen gewekt over hoe snel een enkele gecompromitteerde maintainer veel downstreamgebruikers kan beïnvloeden.

Het security team benadrukte dat elke software die afhankelijk is van open source, wat bijna elke software is, een netwerk van mensen heeft die potentiële aanvalsvectoren kunnen zijn. Iedereen met publicatierechten voor een pakket in een afhankelijkheidsnetwerk kan een toegangspunt voor malware worden. Deze onderlinge verbondenheid betekent dat een gerichte aanval op één prominente Rust-ontwikkelaar gevolgen kan hebben die verder reiken dan een enkel project. Het benadrukt ook de moeilijkheid van het beveiligen van wijdverspreide open-source supply chains.

Als verdediging raadt het crates security team momenteel dependency cooldowns aan. Deze aanpak geeft nieuwe pakketreleases een paar dagen voordat ontwikkelaars deze upgraden, in de hoop dat supply chain-aanvallen eerder door iemand anders worden opgemerkt. Adam Harvey en het security team drongen er bij leden van de Rust-gemeenschap op aan om alert te zijn op onverwachte video-oproepproblemen en verdachte installatieverzoeken. Ze adviseerden beheerders om identiteiten te verifiëren en onbekende commando's niet uit te voeren.

De campagne is nog steeds aan de gang, en het security team verwacht dat verdere pogingen waarschijnlijk zijn. Rust-ontwikkelaars worden aangemoedigd om verdachte contacten te rapporteren en ongevraagde kansen met voorzichtigheid te behandelen. Aangezien open-source afhankelijkheden de basis vormen van bijna alle moderne software, heeft de waarschuwing implicaties voor de bredere technologie-industrie. Sterkere bescherming rond publicatierechten en menselijke verificatie kan nodig zijn om soortgelijke risico's in de toekomst te verminderen.