Взлом учётной записи: пять релизов OVHcloud CLI подменили зловредом

В понедельник, 19 октября, неизвестный получил доступ к учётной записи одного из контрибьюторов OVHcloud на GitHub и заменил архивы с программой в пяти уже опубликованных релизах утилиты командной строки провайдера. Новые файлы оказались сборкой, которая крала секреты, хранящиеся на диске запустившей её машины.

Подменённые архивы провисели на GitHub до 94 минут — с 12:47 до 14:21 UTC — и затронули только тех, кто устанавливал или обновлял OVHcloud CLI в это окно по пути, не проверяющему хеш, под macOS, Linux (x86_64 или arm64) либо Windows x86_64.

Что было скомпрометировано

Под удар попали релизы с v0.11.0 по v0.15.0, выпущенные с 14 апреля по 16 сентября; v0.10.0 чиста. В v0.15.0 атакующий подменил шесть файлов, включая checksums.txt, так что опубликованные хеши совпадали с новыми бинарниками. Сборки для Linux i386, Windows i386, Windows arm64 и WebAssembly он не трогал.

Заражение получали те, кто запускал официальный скрипт установки, скачивал архив со страницы релиза, тянул его в CI без закреплённого хеша или пользовался встроенной командой обновления. А вот установка через Homebrew (касок закреплял SHA-256 и отвергал несовпадение), go install, сборка из исходников и Docker-образ остались в безопасности. Исходный код, теги релизов и конвейер сборки злоумышленник не затрагивал.

Как распознать

Подмену заметил клиент, чей CI закреплял хеш архива Linux arm64 и начал падать. Он извлёк сведения о сборке командой go version -m, которая читает файл, не запуская его. Вредоносную сборку выдают псевдоверсия от 13 октября, чужой коммит (5ead8ef вместо 760fd72, на который указывает тег) и строка -ldflags="-s -w", которой нет в честных релизах OVHcloud.

Что делать

Основатель OVHcloud Октав Клаба призвал всех пострадавших сменить каждый секрет, хранившийся на диске, — утилита держит учётные данные API в ~/.ovh.conf. Исследователи из OpenSourceMalware советуют делать это с другой машины. Вечером компания выпустила чистую версию v0.16.0 как неизменяемый релиз, файлы которого GitHub не позволит переписать.

Причина инцидента — невключённая опция неизменяемости релизов, доступная с октября 2025 года: обладатель нужных прав мог менять файлы напрямую, минуя CI/CD. Теперь опция активирована.

OpenSourceMalware связывает угнанный аккаунт с кампанией GlassWorm, которая прячет код в невидимых символах Unicode и подтягивает следующую стадию из поля memo транзакций в кошельке Solana. Прямой связи октябрьской сборки с GlassWorm нет — ни одной копии вредоносного архива публично не сохранилось. OVHcloud обещает подробный разбор в ближайшие дни.

Источник: The Hacker News