La empresa francesa de computación en la nube y alojamiento web OVHcloud sufrió un ataque a su cadena de suministro de software, después de que un pirata informático lograra utilizar la cuenta de GitHub de uno de los desarrolladores de la empresa para introducir un software malicioso roba-datos en la herramienta oficial de línea de comandos (CLI) de la compañía.
El incidente ocurrió el 19 de octubre, y OVHcloud explicó que las versiones desde la v0.11.0 hasta la v0.15.0 se vieron afectadas por esta brecha, mientras que la versión anterior v0.10.0 y la nueva versión v0.16.0 permanecieron seguras y libres de cualquier modificación maliciosa.
Detalles de la brecha y ventana de ataque
Octave Klaba, fundador de OVHcloud, explicó que el atacante añadió un archivo ejecutable crítico cuya función era extraer secretos y datos de los discos duros. A pesar de describir la calidad del software como deficiente, este era capaz de cumplir su cometido. La versión comprometida apareció exactamente a las 14:47 hora de París y fue bloqueada a las 16:21 tras recibir una alerta de un cliente, ya que un usuario informó públicamente sobre la manipulación después de que fallara la verificación automática de los valores hash (Hash Check).
Klaba indicó que las tuberías de integración y entrega continua (CI/CD) no se vieron afectadas por el ataque, señalando que el problema principal se debió a la falta de activación de la medida de inmutabilidad de versiones en GitHub (Release Immutability), lo que permitió a un usuario con los permisos adecuados modificar las versiones publicadas directamente sin pasarlas por los controles del sistema de la empresa.
Detección de vínculos y software malicioso
Investigadores de seguridad de la plataforma OpenSourceMalware informaron que el atacante reemplazó los archivos originales de versiones publicadas anteriormente, y los reemplazos se limitaron a los paquetes destinados a las plataformas más comunes, lo que apunta a la posible orientación hacia las credenciales en las estaciones de trabajo de desarrolladores y operadores.
La cuenta objetivo pertenece a un colaborador legítimo de la empresa, y las investigaciones indican que había sido comprometida desde al menos marzo de 2026, fecha en la que se modificaron repositorios personales y se incluyó un cargador oculto basado en la red blockchain de Solana para localizar una carga útil de software adicional a través de una cartera vinculada a indicadores de malware conocidos como GlassWorm, aunque los investigadores no pudieron confirmar si el mismo atacante está detrás del hackeo de marzo y del ataque de octubre.
¿Qué cambia en la práctica para los usuarios?
El incidente afectó a los usuarios que instalaron o actualizaron la herramienta de línea de comandos en sistemas macOS, Linux de 64 bits o Windows x86_64 durante una ventana de tiempo que no superó los 94 minutos, ya sea a través del script de instalación oficial, el gestor de paquetes Homebrew o la descarga directa desde GitHub. Mientras que no se vieron afectados los usuarios que compilaron desde el código fuente, utilizaron el comando de instalación propio del lenguaje Go o descargaron la imagen oficial de Docker.