Французская облачная компания OVHcloud предупредила своих пользователей о том, что ее инструмент командной строки (CLI) с открытым исходным кодом подвергся взлому. Злоумышленники использовали учетную запись одного из разработчиков для получения доступа к репозиторию на платформе GitHub и модификации определенных версий инструмента с целью внедрения вредоносного ПО.
Детали взлома и затронутые версии
Генеральный директор компании Октав Клаба пояснил, что атака затронула версии от v0.11.0 до v0.15.0. Подозрительная активность была зафиксирована 19 октября 2026 года, когда злоумышленники смогли обойти стандартные проверки CI/CD, воспользовавшись отключением функции «неизменяемости» (Release Immutability) в репозитории GitHub. Это позволило загрузить вредоносные пакеты, собранные локально.
Компания подтвердила, что более старая версия (v0.10.0) и самая новая версия (v0.16.0) абсолютно безопасны и атаке не подверглись. Расследование также показало, что инцидент может быть связан с операцией GlassWorm — активной кампанией угроз, действующей с конца 2025 года и нацеленной на различные среды разработки программного обеспечения.
Что это значит для пользователей?
Основной целью вредоносного ПО является извлечение «секретов» (Secrets), хранящихся на дисках компьютеров разработчиков и системных администраторов. Поскольку инструмент используется для управления облачными службами и хостингом, любое устройство, на котором были запущенные зараженные версии, считается полностью скомпрометированным.
- Затронутые системы: macOS (Intel и ARM), Linux (x86_64 и ARM64), а также Windows x86-64.
- Безопасные системы: Образы Docker и сборки из исходного кода (Source builds) не пострадали.
Рекомендуемые меры по устранению последствий
OVHcloud настоятельно рекомендует всем пользователям, скачавшим затронутые версии, немедленно предпринять следующие шаги:
- Полностью удалить зараженный инструмент из системы.
- Выполнить полную очистку устройства.
- Изменить и отозвать все секреты и программные ключи, которые хранились на устройстве, так как предполагается, что они попали в руки злоумышленников.
Компания активировала функцию «неизменяемости» в GitHub для предотвращения подобных несанкционированных изменений в будущем и заявила, что инцидент локализован.