프랑스의 클라우드 컴퓨팅 및 웹 호스팅 기업 OVHcloud가 소프트웨어 공급망 침해 사고를 겪었습니다. 한 해커가 회사의 공식 명령 줄 도구(CLI) 내부에 데이터 유출용 악성코드를 주입하기 위해 회사 개발자 중 한 명의 GitHub 계정을 도용한 것입니다.
이번 사건은 10월 19일에 발생했으며, OVHcloud는 v0.11.0부터 v0.15.0까지의 버전이 이번 침해 사고의 영향을 받았다고 밝혔습니다. 반면 이전 버전인 v0.10.0과 신규 버전인 v0.16.0은 안전하며 악성 변조가 없는 상태로 유지되었습니다.
침해 사고 세부 정보 및 공격 창구
OVHcloud의 창립자인 옥타브 클라바(Octave Klaba)는 공격자가 하드 드라이브에서 비밀 정보와 데이터를 추출하는 기능을 하는 핵심 실행 파일을 추가했다고 설명했습니다. 그는 해당 악성코드의 품질이 낮다고 평가했음에도 불구하고, 그 임무를 수행할 수는 있었다고 밝혔습니다. 해킹된 버전은 파리 시간 기준 오후 14시 47분에 나타났으며, 한 고객의 경고를 받아 오후 16시 21분에 차단되었습니다. 자동 해시 검증(Hash Check)이 실패한 후 한 사용자가 공개적으로 조작 사실을 신고했기 때문입니다.
클라바는 지속적 통합 및 지속적 배포(CI/CD) 파이프라인은 공격받지 않았다고 지적하며, 핵심 문제는 GitHub에서 릴리스 불변성(Release Immutability) 설정이 활성화되지 않았던 점이라고 밝혔습니다. 이로 인해 적절한 권한을 가진 사용자가 회사의 시스템 검사를 거치지 않고 게시된 릴리스를 직접 수정할 수 있었습니다.
연관성 및 악성코드 탐지
OpenSourceMalware 플랫폼의 보안 연구원들은 공격자가 이전에 게시된 릴리스의 원본 파일들을 대체했으며, 이러한 교체가 가장 흔한 플랫폼용 패키지에만 국한되었다고 보고했습니다. 이는 개발자와 운영자의 워크스테이션에서 자격 증명을 타겟으로 삼았을 가능성을 시사합니다.
타겟이 된 계정은 회사의 적법한 기여자 소유이며, 조사 결과 해당 계정은 적어도 2026년 3월부터 침해를 당했던 것으로 나타났습니다. 당시 개인 저장소가 수정되었고, GlassWorm으로 알려진 악성코드 지표와 연관된 지갑을 통해 추가 페이로드의 위치를 지정하기 위해 솔라나(Solana) 블록체인 네트워크에 의존하는 은닉형 로더가 포함되었습니다. 다만 연구원들은 3월의 계정 해킹과 10월의 공격 배후가 동일 인물인지 여부는 확인하지 못했습니다.
사용자에게 실질적으로 달라지는 점은 무엇인가?
94분을 넘지 않는 시간 창 내에 공식 설치 스크립트, Homebrew 패키지 관리자, 또는 GitHub에서 직접 다운로드하는 방식을 통해 macOS, Linux 64-bit, 혹은 Windows x86_64 시스템에 명령 줄 도구를 설치하거나 업데이트한 사용자들이 이번 사고의 영향을 받았습니다. 소스에서 직접 빌드하거나, Go 언어 전용 설치 명령어를 사용하거나, 공식 Docker 이미지를 가져온 사용자들은 영향을 받지 않았습니다.