Inside Rust Blog
·
crates.io 事件回顾：用户上传恶意软件
原文英文，约500词，阅读约需2分钟。
📝
内容提要
crates.io团队收到了Phylum的通知，有用户上传了九个恶意的crates，已被撤销并删除。这些crates包含恶意的build.rs文件，试图发送用户计算机的元数据。Rust基金会将扫描所有crate上传并实施扫描器。感谢Phylum的Louis Lang、Josh Stone和Rust基金会的Walter Pearce的帮助和支持。
🎯
关键要点
-
crates.io团队于8月16日收到Phylum的通知，发现用户上传了九个恶意的crates。
-
这些crates包含恶意的build.rs文件，试图发送用户计算机的元数据。
-
相关用户账户已被锁定，crates于8月18日被完全删除。
-
其中一个crate版本包含PuTTY安装程序，可能是早期实验的结果。
-
crates.io团队立即采取行动，撤回了这些crates并锁定了用户账户。
-
分析显示，这些crates明显是出于恶意目的制作的。
-
没有证据表明这些crates被实际用户下载，下载请求仅来自自动扫描和镜像行为。
-
Rust基金会的安全计划将扫描所有crate上传，以防止typosquatting和恶意内容。
-
感谢Phylum的Louis Lang、Josh Stone和Rust基金会的Walter Pearce的支持和帮助。
🏷️
