Французский провайдер облачных вычислений и веб-хостинга OVHcloud столкнулся с инцидентом безопасности цепочки поставок программного обеспечения после того, как злоумышленник использовал учетную запись GitHub одного из разработчиков компании для внедрения вредоносной программы для кражи конфиденциальных данных в официальный инструмент командной строки (CLI) компании.
Инцидент произошел 19 октября. В OVHcloud уточнили, что под воздействие этой атаки попали версии с v0.11.0 по v0.15.0, в то время как более старая версия v0.10.0 и новый релиз v0.16.0 остались защищенными и не содержали вредоносных модификаций.
Детали взлома и временное окно атаки
Октав Клаба, основатель OVHcloud, пояснил, что злоумышленник добавил важный исполняемый файл, задачей которого было извлечение секретов и данных с жестких дисков. Несмотря на то, что качество вредоносного кода было оценено как низкое, он был способен выполнить свою задачу. Скомпрометированный релиз появился в 14:47 по парижскому времени и был заблокирован в 16:21 после получения предупреждения от клиента, когда один из пользователей публично сообщил о манипуляциях после того, как не прошла автоматическая проверка хеш-сумм (Hash Check).
Клаба отметил, что конвейеры непрерывной интеграции и доставки (CI/CD) не пострадали в результате атаки, указав, что главной проблемой стало отсутствие активации требования неизменяемости релизов (Release Immutability) на GitHub, что позволило пользователю с соответствующими правами напрямую изменять опубликованные релизы без прохождения проверок через системные процессы компании.
Выявление связей и вредоносного ПО
Специалисты по безопасности из платформы OpenSourceMalware сообщили, что злоумышленник заменил оригинальные файлы в ранее опубликованных релизах, причем эти замены коснулись только пакетов для наиболее распространенных платформ, что указывает на возможное нацеливание на учетные данные на рабочих станциях разработчиков и операторов.
Целевой аккаунт принадлежал легитимному участнику проекта, и расследования показывают, что он был скомпрометирован по крайней мере с марта 2026 года. Тогда были изменены личные репозитории и внедрен скрытый загрузчик, использующий блокчейн-сеть Solana для определения местоположения дополнительной вредоносной полезной нагрузки через кошелек, связанный с индикаторами вредоносного ПО, известными как GlassWorm, хотя исследователи не смогли подтвердить, стоит ли за мартовским взломом и октябрьской атакой один и тот же злоумышленник.
Что это означает на практике для пользователей?
Ин원нцидент затронул пользователей, которые установили или обновили инструмент командной строки на системах macOS, Linux 64-bit или Windows x86_64 в течение временного окна, не превышавшего 94 минуты, с помощью официального скрипта установки, менеджера пакетов Homebrew или прямой загрузки с GitHub. При этом пользователи, собиравшие утилиту из исходного кода, использовавшие команду установки для языка Go или официальный образ Docker, не пострадали.