Das französische Cloud-Computing- und Webhosting-Unternehmen OVHcloud war Ziel eines Angriffs auf die Software-Supply-Chain, nachdem es einem Angreifer gelungen war, das GitHub-Konto eines der Unternehmensentwickler zu verwenden, um eine Schadsoftware zum Diebstahl geheimer Daten in das offizielle Befehlszeilentool (CLI) des Unternehmens einzuschleusen.
Der Vorfall ereignete sich am 19. Oktober. OVHcloud erklärte, dass die Versionen v0.11.0 bis v0.15.0 von diesem Angriff betroffen waren, während die ältere Version v0.10.0 sowie die neue Version v0.16.0 automatisiert und frei von jeglichen schädlichen Modifikationen blieben.
Details zum Einbruch und Angriffsfenster
Octave Klaba, der Gründer von OVHcloud, erklärte, dass der Angreifer eine wichtige ausführbare Datei hinzugefügt habe, deren Aufgabe es sei, Geheimnisse und Daten von Festplatten zu extrahieren. Obwohl er die Qualität der Software als schwach bezeichnete, war sie in der Lage, ihre Aufgabe zu erfüllen. Die kompromittierte Version tauchte um 14:47 Uhr Pariser Zeit auf und wurde um 16:21 Uhr nach Erhalt einer Warnung von einem Kunden gesperrt, nachdem ein Benutzer die Manipulation öffentlich gemeldet hatte, da die automatische Überprüfung der Hash-Werte (Hash Check) fehlgeschlagen war.
Klaba wies darauf hin, dass die Pipelines für Continuous Integration und Continuous Delivery (CI/CD) von dem Angriff nicht betroffen waren. Er erklärte, dass das Hauptproblem auf die Nichtaktivierung der Kriterien für die Unveränderlichkeit von Releases (Release Immutability) auf GitHub zurückzuführen sei, was einem Benutzer mit den entsprechenden Berechtigungen erlaubte, veröffentlichte Releases direkt zu ändern, ohne sie durch die Systemüberprüfungen des Unternehmens zu leiten.
Erkennung von Verbindungen und Schadsoftware
Sicherheitsforscher der Plattform OpenSourceMalware berichteten, dass der Angreifer die Originaldateien zuvor veröffentlichter Releases ersetzte. Die Ersetzungen beschränkten sich auf Pakete, die für die gängigsten Plattformen bestimmt sind, was auf eine mögliche Zielgerichtetheit gegen Anmeldeinformationen auf Entwickler- und Betreiber-Arbeitsstationen hindeutet.
Das Zielkonto gehört zu einem legitimen Mitwirkenden des Unternehmens, und Untersuchungen deuten darauf hin, dass es mindestens seit März 2026 kompromittiert war. Dabei wurden persönliche Repositories modifiziert und ein versteckter Loader eingebunden, der auf der Solana-Blockchain basiert, um den Speicherort einer zusätzlichen Schadsoftware-Nutzlast über eine Wallet zu ermitteln, die mit Indikatoren für Schadsoftware namens GlassWorm verknüpft ist. Forscher konnten jedoch nicht bestätigen, ob derselbe Angreifer hinter dem Einbruch im März und dem Angriff im Oktober steckt.
Was ändert sich praktisch für die Nutzer?
Benutzer, die das Befehlszeilentool auf macOS, Linux 64-bit oder Windows x86_64 innerhalb eines Zeitfensters von höchstens 94 Minuten installiert oder aktualisiert hatten, waren von dem Vorfall betroffen – und zwar über das offizielle Installationsskript, den Paketmanager Homebrew oder den direkten Download von GitHub. Benutzer, die den Quellcode selbst kompiliert, den Installationsbefehl für die Programmiersprache Go verwendet oder das offizielle Docker-Image bezogen haben, waren hingegen nicht betroffen.