OVHcloud CLI spionaj pe GitHub: secretele dezvoltatorilor sunt în pericol

Cum s-a infiltrat atacul?

Atacatorii au preluat contul unui dezvoltator pe GitHub pentru a accesa depozitul OVHcloud CLI. Au modificat versiunile 0.11.0 până la 0.15.0.

Octave Klaba, CEO-ul companiei, a anunțat versiunea afectată la ora 14:47 pe 19 octombrie. Incidentul a fost detectat și blocat la 16:21, după ce un client a semnalat anomalii. Klaba a confirmat că versiunile v0.11.0, v0.12.0, v0.13.0, v0.14.0 și v0.15.0 au fost afectate.

Versiunea mai veche 0.10.0 și cea mai nouă 0.16.0 au rămas sigure. Deși calitatea codului malefic a fost descrisă ca „slabă”, scopul era clar: extragerea secretelor stocate pe disc.

Într-o actualizare ulterioară, Klaba a explicat că imutabilitatea eliberărilor GitHub a fost dezactivată. Acest lucru a permis unui cont cu privilegii suficiente să modifice eliberări existente fără a trece prin verificările CI/CD. Cu toate acestea, toate pipeline-urile CI/CD, inclusiv testele unitare și detecția CVE, nu au fost compromise. OVHcloud a reactivat imutabilitatea eliberărilor GitHub și consideră incidentul rezolvat. Klaba îndeamnă utilizatorii care au descărcat un pachet compromis să-și curățeze sistemele și să revocă toate secretele.

Ce greșeală de configurare a permis asta?

Calitatea binarului e slabă, dar poate merge până la capăt.

Dacă ești afectat, schimbi toate secretele de pe disc, a declarat el.

Conform platformei de inteligență amenințări OpenSourceMalware, atacul face probabil parte dintr-o nouă operațiune GlassWorm. Acest grup este cunoscut pentru campanii care vizează ecosistemele VSCode, OpenVSX, GitHub și npm. Cercetătorii au confirmat că atacatorul nu a modificat pipeline-urile CI/CD, ci a încărcat pachete infectate cu malware construite local. Au descoperit că contul GitHub folosit în atac fusese compromis de peste jumătate de an.

„Istoria publică a depozitelor arată o rescriere automată a istoricului pe 5 martie 2026, și un loader preinstall. js ascuns care se decodifică într-o a doua etapă folosind un drop mort pe Solana”, au descoperit cercetătorii OpenSourceMalware.

Cine e afectat și ce trebuie făcut?

Deși portofelul asociat este un indicator cunoscut al GlassWorm, echipa nu a analizat în adâncime payload-ul malefic livrat prin versiunea trojanizată a CLI-ului.

Conform raportului OpenSourceMalware, platformele afectate includ macOS (Intel și ARM), Linux (x86_64 și ARM64) și Windows x86-64.

Construcțiile din sursă și imaginile Docker au rămas neafectate. Cineva care a executat un binar afectat ar trebui să trateze toate secretele de pe acea mașină ca compromise. Scorurile generale de prevenire pot masca ce se întâmplă după accesul inițial.

Odată ce atacatorii folosesc credentiale valide, capacitatea de prevenire scade brusc. Raportul Blue din 2026 măsoară apărarea tehnică față de ofensiva tehnică pe baza a 338 de milioane de simulari în medii de producție la clienți. Descărcați raportul.