В понедельник, 19 октября, злоумышленник использовал учетную запись одного из контрибьюторов GitHub для подмены загружаемых архивов в пяти существующих релизах командной строки OVHcloud. Учетная запись была взломана, а новые файлы представляли собой сборку, предназначенную для кражи секретных данных, хранящихся на диске любой машины, на которой она запускалась, сообщает облачный провайдер. Файлы находились на GitHub до 94 минут, с 12:47 до 14:21 UTC, и попали только к тем, кто устанавливал или обновлял OVHcloud CLI в этот период, через путь, который не проверяет хеш, на macOS, Linux x86_64 или arm64, или Windows x86_64.
Вечером того же дня OVHcloud удалил подмененные архивы и опубликовал чистую версию v0.16.0 как неизменяемый релиз, файлы которого GitHub не позволит никому изменить. Исходный код, тег релиза и конвейер сборки компании не были затронуты: вредоносная сборка представляла собой обычную сборку Go из более позднего коммита, загруженную непосредственно в релизы, опубликованные между апрелем и сентябрем.
В версии v0.15.0 злоумышленник заменил шесть файлов: архивы для macOS x86_64 и arm64, архивы для Linux x86_64 и arm64, архив для Windows x86_64 и файл checksums.txt, чтобы опубликованные хеши соответствовали новым бинарным файлам. Те же шесть файлов теперь отсутствуют и в версиях с v0.11.0 по v0.14.0. Сборки для Linux i386, Windows i386, Windows arm64 и WebAssembly остались нетронутыми во всех релизах.
OVHcloud перечисляет версии с v0.11.0 по v0.15.0 как скомпрометированные, а v0.10.0 — как чистую. Эти пять релизов были опубликованы между 14 апреля и 16 сентября, поэтому копия, установленная до 12:47 UTC в понедельник и не обновлявшаяся с тех пор, является оригинальной.
Вы получили подмененный файл, если в указанный период и на одной из этих платформ вы:
Вы не получили его, если вы:
Клиент, обнаруживший подмену, извлек информацию о сборке из нового бинарного файла v0.15.0 для Linux arm64 с помощью команды `go version -m`, которая читает файл, не запуская его, и опубликовал ее в обсуждении на GitHub. Три признака указывают на вредоносную сборку:
Советы о том, что любая сборка с пометкой +dirty или содержащая строки vcs, является вредоносной, пометили бы собственный релиз OVHcloud. The Hacker News выполнил ту же команду на чистом бинарном файле v0.16.0 для Linux x86_64: он сообщает v0.16.0+dirty, vcs.modified=true и коммит, из которого он был собран.
Единственный опубликованный хеш подмененного файла — это архив v0.15.0 для Linux arm64:
Сборка без флага версии сообщила бы свою версию как неопределенную, но запускать подозрительный бинарный файл, чтобы узнать это, не рекомендуется.
Основатель OVHcloud Октав Клаба написал в X в понедельник вечером, что всем пострадавшим следует сменить все секретные данные, хранящиеся на диске. =
CLI хранит учетные данные API OVHcloud в файле ~/.ovh.conf и считывает их из переменных окружения, согласно его документации, и совет касается всего остального на диске, а не только этих файлов.
OVHcloud не сообщил, какие файлы читает бинарный файл, куда он их отправляет или сколько копий было загружено, и ни одна копия подмененного архива не была проанализирована публично. Компания пообещала подробный постмортем в ближайшие дни.
Любой, кто имеет права на запись в репозиторий GitHub, может удалить файлы, прикрепленные к релизу, и загрузить новые с теми же именами, а URL загрузки не изменится, если не будет включена неизменяемость релиза.
Эта настройка, общедоступная с октября 2025 года, блокирует файлы и тег релиза, но защищает только релизы, созданные после ее включения.
OVHcloud не включил ее. Во втором сообщении в понедельник вечером, цитируемом Next, Клаба написал, что проблема возникла из-за того, что опция неизменяемости не была активирована, поэтому пользователь с соответствующими разрешениями мог изменять существующие релизы непосредственно на GitHub без каких-либо проверок со стороны конвейера CI/CD компании. Теперь опция включена, и сами конвейеры не пострадали.
Пять старых релизов теперь предлагают только четыре архива, которые злоумышленник не тронул.
Загрузки производились через учетную запись контрибьютора, чья работа была объединена в репозитории документации OVHcloud и который не является публичным членом организации, согласно OpenSourceMalware, который построил хронологию на основе серверных записей GitHub.
Рабочий процесс релиза никогда не запускался: список запусков не показывает никаких рабочих процессов между 16 октября и отправкой тега v0.16.0 в 16:00 UTC в понедельник. Первые проверки не выявили других затронутых репозиториев, написал Клаба в своем первом сообщении, и OVHcloud не сообщил, как были получены учетные данные учетной записи.
Задание CI клиента обнаружило подмену, поскольку оно фиксирует SHA-256 архива Linux arm64 и начало давать сбои. Поскольку в репозитории не было частного канала отчетности, клиент подал публичную заявку, в 13:50 UTC по хронологии OpenSourceMalware, и OVHcloud удалил подмененные файлы примерно через полчаса, в 14:21 UTC (16:21 в Париже). Версия v0.16.0 последовала в 17:16 UTC, опубликованная под учетной записью компании ovh-cds с подписанным тегом.
OpenSourceMalware связывает учетную запись с GlassWorm, кампанией вредоносного ПО, которая скрывает код в невидимых символах Unicode и загружает следующую стадию из поля memo транзакций кошелька Solana. Исследователи обнаружили, что четыре личных репозитория учетной записи были принудительно отправлены 5 и 6 марта с измененным коммитом, который добавил загрузчик такого типа.
Кошелек, который читает загрузчик, — это тот, который указан в кампании GlassWorm ForceMemo, которая принудительно отправила вредоносное ПО в сотни репозиториев Python в марте с использованием украденных токенов GitHub. The Hacker News подтвердил, что файл загрузчика все еще находится в одном из этих репозиториев с хешем, опубликованным исследователями.
Делал ли это один и тот же актер, — это «наше предположение», написали исследователи. Общая учетная запись является связующим звеном, и ничего из бинарного файла октября не было связано с GlassWorm, поскольку ни одна его копия не была сохранена.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
