Projekat Rust upozorava da se održavaoci mame na video pozive radi podmetanja zlonamjernog koda

Napad nije usmjeren na registar nego na ljude koji u njega smiju da objavljuju. Upozorenje je 17. septembra 2026. objavio Adam Harvey, u ime tima registra crates.io i radne grupe za odgovor na bezbjednosne incidente. Projekat vjeruje da je u toku kampanja protiv članova projekta i vlasnika popularnih paketa, a cilj joj je preuzimanje uređaja i naloga, da bi se iz njih objavio zlonamjeran kod.

Poziv je sam napad

Video poziv se zakazuje oko nečega poželjnog — posla, projekta ili ugovora. Tokom razgovora se od mete traži da nešto instalira, u jednom opisanom slučaju tobože nedostajući zvučni kodek, ili da izvrši komandu koju joj je napadač prethodno stavio u ostavu, pa je meta samo nalijepi. Nijedan korak tog niza ne traži grešku u nekom programu.

Priprema je napravljena tako da izdrži brzu provjeru. Napadači osnivaju nove firme koje izgledaju uredno, uz uvjerljivo prisustvo na mreži LinkedIn, pa kandidat koji pet minuta provjerava poslodavca nađe tačno ono što očekuje. Projekat navodi da je ovaj oblik napada poznat po tome što ga koristi Sjeverna Koreja i da je viđen i izvan zajednice okupljene oko Rusta.

Šta se već dogodilo

Ovo nije pretpostavka. Raniji napad istog oblika pogodio je više poznatih programera u junu 2026, a u avgustu je paket arrayref kroz sličan napad nakratko bio kompromitovan. Projekat izričito kaže da za sada ne zna jesu li svi ti slučajevi dio iste kampanje.

Ne kaže ni koliko je ljudi kontaktirano, ni koliko je naloga stvarno preuzeto. To odsustvo brojke treba čitati onako kako je napisano: upozorenje izdato dok istraga traje, a ne izvještaj poslije svega, s brojem na kraju.

• Meta je čovjek koji smije da objavljuje, a ne ranjivost u lancu alata.
• Preuzimanje jednog održavaoca ubacuje zlonamjeran kod u svaki projekat koji zavisi od njegovog paketa.
• Kompromitovan paket se može povući, ali su ga gradnje pokrenute u međuvremenu već preuzele.
• Ništa u ovome ne zavisi od Rusta; isti postupak radi protiv svakog registra koji održavaju ljudi.

Šta projekat traži od ljudi

Savjet je kratak. Prema neželjenom obraćanju treba se odnositi sa sumnjom. Kad se poziv s nepoznatom osobom ipak mora obaviti, zakazuje ga onaj ko je kontaktiran, i to na platformi koju već koristi, pa sastanak ne stiže kao veza iza koje čeka instalacija. Nalozi koji smiju da objavljuju se provjeravaju: uključena višestruka provjera identiteta i nijedna neočekivana prijava na platformama koje ih bilježe. Objava navodi i dvije adrese za prijavu sumnje, jedna za naloge u registru i jedna za sve ostalo.

Simon Willison je o upozorenju pisao istog dana. On dodaje odbranu na strani onoga ko zavisnosti koristi, a ne onoga ko ih održava: odlaganje nadogradnje za nekoliko dana poslije objavljenog izdanja, u nadi da će napad na lanac snabdijevanja dotle primijetiti neko drugi. Ta mjera košta kašnjenje u ažuriranju, a kupuje jedino što ovdje pomaže, a to je tuđa pažnja.