A empresa francesa de computação em nuvem e hospedagem web OVHcloud sofreu uma violação em sua cadeia de suprimentos de software, depois que um invasor conseguiu usar a conta do GitHub de um dos desenvolvedores da empresa para injetar um malware de roubo de segredos na ferramenta oficial de linha de comando (CLI) da empresa.
O incidente ocorreu em 19 de outubro, e a OVHcloud esclareceu que as versões de v0.11.0 a v0.15.0 foram afetadas por esta violação, enquanto a versão antiga v0.10.0 e a nova versão v0.16.0 permaneceram seguras e livres de quaisquer modificações maliciosas.
Detalhes da invasão e janela de ataque
Octave Klaba, fundador da OVHcloud, explicou que o invasor adicionou um arquivo executável crítico cuja função era extrair segredos e dados dos discos rígidos. Apesar de descrever a qualidade do software como fraca, ele era capaz de concluir sua missão. A versão comprometida apareceu às 14:47, horário de Paris, e foi bloqueada às 16:21 após receber um alerta de um cliente, quando um usuário relatou publicamente a adulteração após a falha na verificação automática de hash (Hash Check).
Klaba apontou que os pipelines de integração e entrega contínua (CI/CD) não foram afetados pelo ataque, indicando que o principal problema resultou da não ativação do critério de imutabilidade de lançamento no GitHub, o que permitiu que um usuário com as permissões adequadas modificasse diretamente os lançamentos publicados sem passá-los pelas verificações do sistema da empresa.
Monitoramento de conexões e softwares maliciosos
Pesquisadores de segurança da plataforma OpenSourceMalware relataram que o invasor substituiu os arquivos originais de versões publicadas anteriormente, e as substituições se limitaram aos pacotes direcionados às plataformas mais comuns, o que aponta para a possível mira de credenciais em estações de trabalho de desenvolvedores e operadores.
A conta visada pertence a um colaborador legítimo da empresa, e investigações indicam que ela foi comprometida desde pelo menos março de 2026, quando repositórios pessoais foram modificados e um carregador oculto baseado na blockchain Solana foi incluído para localizar uma carga útil de software adicional por meio de uma carteira associada a indicadores de malware conhecidos como GlassWorm, embora os pesquisadores não tenham conseguido confirmar se o mesmo invasor está por trás da invasão de março e do ataque de outubro.
O que muda na prática para os usuários?
O incidente afetou os usuários que instalaram ou atualizaram a ferramenta de linha de comando em sistemas macOS, Linux de 64 bits ou Windows x86_64 durante uma janela de tempo que não ultrapassou 94 minutos, por meio do script de instalação oficial, do gerenciador de pacotes Homebrew ou do download direto do GitHub. Enquanto isso, não foram afetados os usuários que compilaram a partir do código-fonte, usaram o comando de instalação da linguagem Go ou obtiveram a imagem oficial do Docker.