Хакерите киднапираа пет верзии на OVHcloud CLI за да дистрибуираат тајно малвер за кражби

Напаѓач искористил GitHub сметка на соработник (contributor) за да ги замени архивите за преземање на пет постоечки верзии (releases) од алатката за командна линија на OVHcloud во понеделник, 19 октомври. Сметката била киднапирана, а новите датотеки биле верзија дизајнирана да ги краде тајните зачувани на дискот на која било машина што ја извршува, соопшти провајдерот на услуги во облак.

Датотеките биле активни на GitHub до 94 минути, од 12:47 до 14:21 UTC, и стигнале само до оние луѓе кои го инсталирале или ажурирале OVHcloud CLI во тој временски прозорец, преку патека што не проверува контролен збир (hash), на macOS, Linux x86_64 или arm64, или Windows x86_64.

OVHcloud ги избриша заменетите архиви и истата вечер ја објави чистата верзија v0.16.0 како непроменлива (immutable release), чии датотеки GitHub нема да му дозволи на никогаш да ги промени. Изворниот код, ознаката за верзија (release tag) и цевководот за изградба (build pipeline) на компанијата не биле допрени: лошата изградба била обичен go build од подоцнежен commit, прикачен директно на верзиите објавени меѓу април и септември.

Кој бил изложен

На v0.15.0, напаѓачот заменил шест датотеки: macOS x86_64 и arm64 архивите, Linux x86_64 и arm64 архивите, Windows x86_64 архивата и датотеката checksums.txt, за објавените хешови да се совпаѓаат со новите бинарни датотеки. Истите шест датотеки сега ги нема и од v0.11.0 до v0.14.0. Изградбите за Linux i386, Windows i386, Windows arm64 и WebAssembly беа оставени недопрени на секоја верзија.

OVHcloud ги наведува верзиите од v0.11.0 до v0.15.0 како компромитирани, а v0.10.0 како чиста. Тие пет верзии беа објавени меѓу 14 април и 16 септември, па копија инсталирана пред 12:47 UTC во понеделник и неосвежена оттогаш е оригиналната.

Сте добиле заменета датотека доколку во тој прозорец и на една од тие платформи сте:

• Ја извршиле официјалната инсталациона скрипта (curl -fsSL [https://raw.githubusercontent.com/ovh/ovhcloud-cli/main/install.sh](https://raw.githubusercontent.com/ovh/ovhcloud-cli/main/install.sh) | sh). Таа ја презема најновата архива и ја инсталира, и никогаш не проверувала хеш.
• Преземале архива од GitHub страницата за издавање на која било од петте верзии.
• Извршиле CI задача или чекор за изградба што ја презема архивата од URL-то за преземање без фиксиран хеш.
• Ја извршиле сопствената команда за надградба на CLI од инсталација на v0.12.0, v0.13.0 или v0.14.0 на macOS или Linux машина каде што алатката била инсталирана преку скрипта или рачно. Командата ја презема архивата и ја заменува бинарната датотека без проверка на хеш. На поставеност со Homebrew или go install, таа печати само команда за извршување.

Не сте ја добиле доколку:

• Сте инсталирале со Homebrew, чиј cask во сила за време на тој прозорец го имаше фиксирано оригиналниот SHA-256 за секоја архива. Homebrew одбива преземање чиј хеш не се совпаѓа, па brew install или brew upgrade би прекинале наместо да ја инсталираат заменетата датотека. Некои првични текстови го наведуваа Homebrew меѓу изложените патеки, но The Hacker News ја провери историјата на commit-и: ништо не се променило меѓу v0.15.0 cask на 16 септември и v0.16.0 cask во понеделникот вечерта.
• Сте користеле go install или сте граделе од изворен код. Ознаката v0.15.0 сè уште покажува кон својот commit од септември, 760fd72.
• Сте ја повлекле Docker сликата. Нејзината последна ознака беше последно испратена на 21 септември, четири недели пред замената, и не беше повторно изградена до вторникот.
• Сте инсталирале пред 12:47 UTC во понеделник и не сте ажурирале за време на прозорецот.

Како да препознаете

Клиентот кој ја фати замената ги извлекол информациите за изградбата од новата v0.15.0 Linux arm64 бинарна датотека со go version -m, која ја чита датотеката без да ја извршува, и ги објавил на GitHub проблем (issue). Три работи ја означуваат лошата изградба:

• Линијата на модулот гласи v0.15.1-0.20261013083505-5ead8ef9b43d+dirty, псевдо-верзија што Go ја генерира за изградба од неозначен commit, овде од 13 октомври. Автентичното издание го носи својот број на ознака: чистата изградба v0.16.0 на OVHcloud гласи v0.16.0+dirty.
• Запишаниот commit е 5ead8ef, а не 760fd72, commit-от кон кој покажува ознаката v0.15.0.
• Присутна е линијата -ldflags="-s -w". Цевководот за издавање на OVHcloud гради со знаменце за верзија што Go го изостави од запишаните знаменца, па автентично издание воопшто не прикажува линија -ldflags.

Советите што кружат дека секоја изградба означена со +dirty или што содржи vcs линии е злонамерната, би ја означиле и сопствената верзија на OVHcloud. The Hacker News ја изврши истата команда на чистата v0.16.0 Linux x86_64 бинарна датотека: таа пријавува v0.16.0+dirty, vcs.modified=true и commit-от од кој е изградена.

Единствениот објавен хеш за заменета датотека е за v0.15.0 Linux arm64 архивата:

• SHA-256 (заменета архива): 3833daffcaaaab27e4e0e0833240ffcb1df8df648f4ec0bc4a75c176e28933cb
• SHA-256 (оригинална архива): 5c2beb56e6d83a4b426565a1557791ef759316abcc4effb38dd627c90aeb80e0

Изградба без знаменце за верзија би ја пријавила својата верзија како недефинирана, но извршување на сомнителна бинарна датотека за да се дознае тоа не се препорачува.

Што да направите

Основачот на OVHcloud, Октав Клаба (Octave Klaba), во понеделникот вечерта на X објави дека секој што е засегнат треба да ја промени секоја тајна зачувана на дискот.

CLI ги чува API акредитивите за OVHcloud во ~/.ovh.conf и ги чита од променливите на средината (environment variables), според нејзината документација, а советот го опфаќа сè друго на дискот, не само тие датотеки.

1. Ако сте извршиле заменета изградба, или не можете да утврдите, третирајте ја секоја тајна што може да се прочита од таа машина како изложена и ротирајте ја (променете ја). OpenSourceMalware, кој го истражуваше инцидентот, додава: направете го тоа од друга машина.
2. Отстранете ја бинарната датотека и инсталирајте v0.16.0. Изданието е непроменливо и носи потврдна потврда за издавање (release attestation), потпишан запис за неговите датотеки. Ажурирањето ја заменува програмата, но не го отповикува клучот што веќе бил копиран, поради што ротацијата доаѓа прва.
3. Проверете ја преземената архива во однос на изданието со gh release verify-asset v0.16.0 FILE, како што е документирано од GitHub.

OVHcloud сè уште нема соопштено кои датотеки ги чита бинарната датотека, каде ги испраќа или колку копии биле преземени, а ниту една копија од заменета архива не е јавно анализирана. Компанијата вети детален постмортем во наредните денови.

Како се случи ова

Секој со пристап за пишување до репозиториум на GitHub може да ги избрише датотеките прикачени на дадено издание и да прикачи нови со истите имиња, а URL-то за преземање не се менува освен ако не е овозможена непроменливост на изданијата (release immutability).

Подесувањето, генерално достапно од октомври 2025 година, ги заклучува датотеките и ознаките на изданието, но ги штити само изданијата создадени откако е овозможено.

OVHcloud го немаше овозможено. Во втор пост во понеделникот навечер, цитиран од Next, Клаба напиша дека проблемот произлегол од тоа што опцијата за непроменливост не била активирана, па корисник со соодветни дозволи можел директно да ги менува постоечките изданија на GitHub без какви било проверки од CI/CD цевководот на компанијата. Опцијата сега е овозможена, а самите цевководи не биле засегнати.

Петте стари изданија сега ги нудат само четирите архиви што напаѓачот не ги допрел.

Прикачувањата дојдоа преку сметката на соработник чија споена работа е во репозиториумот за документација на OVHcloud и кој не е јавен член на организацијата, според OpenSourceMalware, кој направи временска линија од серверските записи на GitHub.

Работниот процес за издавање (release workflow) никогаш не се извршил: листата за извршување не прикажува таков процес меѓу 16 октомври и туркањето на ознаката v0.16.0 во 16:00 UTC во понеделникот. Првичните проверки не пронајдоа друг засегнат репозиториум, напиша Клаба во својот прв пост, а OVHcloud не соопшти како се земени акредитивите од сметката.

CI задача на еден клиент ја улови замената бидејќи го имаше фиксирано SHA-256 за Linux arm64 архивата и започна да паѓа. Со оглед на тоа што немаше приватен канал за пријавување на репозиториумот, клиентот поднесе јавен проблем (issue) во 13:50 UTC според временската линија на OpenSourceMalware, а OVHcloud ги избриша заменетите датотеки околу половина час подоцна, во 14:21 UTC (16:21 во Париз). Верзијата v0.16.0 следеше во 17:16 UTC, објавена под сметката ovh-cds на компанијата со потпишана ознака.

Прашањето за GlassWorm

OpenSourceMalware ја поврзува сметката со GlassWorm, кампања за малвер што крие код во невидливи Unicode знаци и ја презема следната фаза од полето за белешка (memo field) на трансакциите на Solana паричник. Четири од личните репозиториуми на сметката биле насилно туркани (force-pushed) на 5 и 6 март со изменет commit кој додаде таков вчитувач, открија истражувачите.

Паричникот што го чита тој вчитувач е оној именуван во кампањата ForceMemo на GlassWorm, која во март насилно внесе малвер во стотици Python репозиториуми со украдени GitHub токени. The Hacker News потврди дека датотеката со вчитувачот сè уште е во еден од тие репозиториуми, со хешот што го објавија истражувачите.

Дали истиот актер ги извршил двете работи е „наша претпоставка“, напишаа истражувачите. Заедничката сметка е врската, а ништо од бинарната датотека од октомври не е поврзано со GlassWorm, бидејќи не е сочувана ниту една нејзина копија.

Извори:

• The Hacker News – Hackers Hijack Five OVHcloud CLI Releases to Distribute Secret-Stealing Malware The Hacker News