Cont de developer compromis și malware în utilitarul OVHcloud CLI

Cum a fost strecurat codul malțios?

Fondatorul OVHcloud, Octave Klaba, a explicat că atacatorul a inserat un binar conceput special pentru a fura date sensibile de pe discurile locale. Deși codul era de o calitate destul de slabă, el și-a făcut treaba la perfecție și a rămas complet funcțional.

Versiunile compromise au stat în aer timp de aproximativ 94 de minute: au apăruți la 14:47, ora Parisului, și au fost blocate rapid la 16:21, după ce un client a tras un semnal de alarmă.

Un utilizator a sesizat discrepanța pe GitHub, după ce o verificare automată a codului hash a eșuat lamentabil.

Unde au cedat sistemele CI/CD?

Klaba a ținut să clarifice că sistemele companiei nu au fost sparte. În schimb, bresa a apărut dintr-o eroare umană: setările de imuabilitate pentru lansările de pe GitHub nu fuseseră activate.

Așa se face că un utilizator cu drepturi suficiente a putut modifica versiunile existente fără ca sistemele de securitate să ridice vreo sprânceană sau să declanșeze alarme automate. Între timp, OVHcloud a pus la punct aceste protecții pentru ca un astfel de scenariu să nu se mai repete.

Cercetătorul în securitate cibernetică OpenSourceMalware a observat că atacatorul a înlocuit fișierele originale direct cu binarul infectat.

Cine se ascunde în spatele atacului?

Lovitura a vizat exact pachetele pentru platformele populare, semn clar că scopul era recoltarea de credențiale de pe stațiile de lucru folosite de programatori și operatori.

Contul buclucaș aparținea unui contributor cu vechime la OVHcloud.

Specialiștii spun că acesta ar fi fost compromis încă din martie 2026, când mai multe repo-uri personale au fost modificate discret pentru a ascunde un loader ciudat.

Programul interoga blockchain-ul Solana ca să aducă alte componente periculoase, o metodă cu amprenta celebrului grup GlassWorm.

Cine riscă să fi fost compromis?

Deși experții bănuiesc o legătură între momentele din martie și octombrie, compania încă n-a confirmat oficial implicarea acestui grup de atacatori.

Dacă ai instalat sau actualizat utilitarul CLI pe macOS, Linux 64-bit sau Windows x86_64 folosind scriptul oficial, Homebrew ori descărcări directe de pe GitHub în acele 94 de minute critice, ești direct vizat. În schimb, cei care au compilat codul din sursă, au folosit comanda de instalare Go sau au mers pe varianta oficială Docker pot sta liniștiți.

Din păcate, acest episod vine să lungească lista tot mai mare de atacuri asupra lanțului de aprovizionare, pe care se mai află nume grele precum AOMEI Backupper, platforma Cairn AI sau Siemens Software Center.