L'entreprise française de cloud computing et d'hébergement web OVHcloud a subi une violation de sa chaîne d'approvisionnement logicielle, après qu'un pirate a réussi à utiliser le compte GitHub d'un des développeurs de l'entreprise pour injecter un logiciel malveillant de vol de données sensibles au sein de l'outil officiel en ligne de commande (CLI) de la société.
L'incident s'est produit le 19 octobre, et OVHcloud a indiqué que les versions v0.11.0 à v0.15.0 ont été touchées par cette compromission, tandis que l'ancienne version v0.10.0 et la nouvelle version v0.16.0 sont restées sécurisées et exemptes de toute modification malveillante.
Détails du piratage et fenêtre d'attaque
Octave Klaba, fondateur d'OVHcloud, a expliqué que l'attaquant a ajouté un fichier exécutable critique dont la fonction était d'extraire des secrets et des données des disques durs. Bien qu'il ait qualifié la qualité du logiciel de médiocre, celui-ci était capable d'accomplir sa mission. La version compromise est apparue à 14h47 heure de Paris, et a été bloquée à 16h21 après la réception d'une alerte d'un client, un utilisateur ayant signalé publiquement la manipulation suite à l'échec de la vérification automatique des valeurs de hachage (Hash Check).
Klaba a souligné que les pipelines d'intégration et de livraison continues (CI/CD) n'ont pas été affectés par l'attaque, précisant que le problème principal découlait de la non-activation de la règle d'immutabilité des versions sur GitHub, ce qui a permis à un utilisateur disposant des privilèges appropriés de modifier directement les versions publiées sans passer par les contrôles du système de l'entreprise.
Suivi des connexions et des logiciels malveillants
Des chercheurs en sécurité de la plateforme OpenSourceMalware ont indiqué que l'attaquant a remplacé les fichiers originaux de versions publiées au préalable, ces remplacements se limitant aux paquets destinés aux plates-formes les plus courantes, ce qui suggère une possible tentative de cibler les identifiants sur les stations de travail des développeurs et des opérateurs.
Le compte ciblé appartient à un contributeur légitime de l'entreprise, et les enquêtes indiquent qu'il a été compromis depuis mars 2026 au moins, des référentiels personnels ayant été modifiés et un chargeur furtif basé sur la blockchain Solana ayant été intégré pour localiser une charge utile logicielle supplémentaire via un portefeuille associé à des indicateurs de logiciels malveillants connus sous le nom de GlassWorm, bien que les chercheurs n'aient pas pu confirmer si le même attaquant se cache derrière le piratage de mars et l'attaque d'octobre.
Qu'est-ce qui change concrètement pour les utilisateurs ?
L'incident a touché les utilisateurs qui ont installé ou mis à jour l'outil en ligne de commande sur des systèmes macOS, Linux 64-bit ou Windows x86_64 au cours d'une fenêtre temporelle n'excédant pas 94 minutes, via le script d'installation officiel, le gestionnaire de paquets Homebrew ou le téléchargement direct depuis GitHub. En revanche, les utilisateurs ayant compilé à partir du code source, utilisé la commande d'installation pour le langage Go ou récupéré l'image Docker officielle n'ont pas été touchés.