Fransız bulut bilişim ve web barındırma şirketi OVHcloud, bir yazılım tedarik zinciri ihlaline maruz kaldı. Bir saldırganın şirketin bir geliştiricisine ait GitHub hesabını kullanarak, şirketin resmi komut satırı aracı (CLI) içerisine gizli verileri çalan bir zararlı yazılım yerleştirdiği ortaya çıktı.
Olay 19 Ekim tarihinde gerçekleşti. OVHcloud, v0.11.0 ile v0.15.0 arasındaki sürümlerin bu ihlalden etkilendiğini, buna karşın eski v0.10.0 sürümünün ve yeni v0.16.0 sürümünün her türlü zararlı değişiklikten temiz ve güvenli durumda kaldığını açıkladı.
İhlalin Detayları ve Saldırı Penceresi
OVHcloud'un kurucusu Octave Klaba, saldırganın sabit disklerden gizli bilgileri ve verileri çıkarmakla görevli kritik bir yürütülebilir dosya eklediğini belirtti. Yazılımın kalitesi zayıf olarak nitelendirilse bile görevini yerine getirebilecek kapasitede olduğu ifade edildi. Ele geçirilen sürüm Paris saatiyle 14:47'de ortaya çıktı ve bir müşteriden gelen uyarı sonrasında 16:21'de engellendi. Otomatik hash (özet değer) doğrulamasının başarısız olmasının ardından bir kullanıcı manipülasyonu herkese açık şekilde bildirmişti.
Klaba, sürekli entegrasyon ve sürekli teslimat (CI/CD) hatlarının saldırıdan etkilenmediğini vurguladı. Ana sorunun GitHub üzerinde Sürüm Değişmezliği (Release Immutability) standartlarının etkinleştirilmemiş olmasından kaynaklandığını, bunun da uygun yetkilere sahip bir kullanıcının yayınlanan sürümleri doğrudan şirketin sistem kontrollerinden geçmeden değiştirmesine olanak tanıdığını belirtti.
Bağlantıların ve Zararlı Yazılımların Tespiti
OpenSourceMalware platformundaki güvenlik araştırmacıları, saldırganın daha önceden yayınlanmış sürümlerin orijinal dosyalarını değiştirdiğini bildirdi. Değişikliklerin en yaygın platformlara yönelik paketlerle sınırlı kalması, geliştiricilerin ve operatörlerin iş istasyonlarındaki kimlik bilgilarinin hedef alınmış olabileceğine işaret ediyor.
Hedef alınan hesap şirketin meşru bir katkıda bulunanına ait olup, yürütülen soruşturmalar hesabın en az Mart 2026'dan beri ele geçirilmiş olabileceğini gösteriyor. Bu süreçte kişisel depoların değiştirildiği ve GlassWorm olarak bilinen zararlı yazılım göstergeleriyle bağlantılı bir cüzdan aracılığıyla ek bir zararlı yükün konumunu belirlemek için Solana blok zincirine dayanan gizli bir yükleyici eklendiği tespit edildi. Ancak araştırmacılar, Mart ayındaki ihlalin arkasındaki kişi ile Ekim ayındaki saldırıyı gerçekleştirenin aynı kişi olup olmadığını teyit edemediler.
Kullanıcılar İçin Pratikte Ne Değişiyor?
Olaydan, komut satırı aracını macOS, Linux 64-bit veya Windows x86_64 sistemlerine 94 dakikayı aşmayan bir zaman penceresi içinde resmi yükleme betiği, Homebrew paket yöneticisi veya doğrudan GitHub üzerinden indirerek kuran veya güncelleyen kullanıcılar etkilendi. Kaynaktan derleme yapanlar, Go programlama dilinin yükleme komutunu kullananlar veya resmi Docker imajını çekenler ise etkilenmedi.