Adatlopó program került az OVHcloud CLI már közzétett kiadásaiba

Az OVHcloud a v0.11.0 és v0.15.0 közötti verziókat jelölte meg kompromittáltként. A 0.10.0, valamint az azóta megjelent 0.16.0 tiszta a vállalat tájékoztatása szerint.

Az eset azokat érinti, akik a körülbelül 94 perces időablakban macOS, 64 bites Linux vagy Windows x86_64 rendszerre telepítették vagy frissítették az eszközt. A hivatalos telepítőszkripttel, a Homebrew csomagkezelővel és a közvetlen GitHub-letöltéssel beszerzett állományok között voltak a lecserélt fájlok.

A forráskódból fordított változatot használók nem érintettek. Ugyanez igaz azokra, akik a Go telepítési parancsát vagy a hivatalos Docker-képfájlt használták. A beszámoló tehát nem minden, aznap végzett telepítést sorol az érintettek közé.

Octave Klaba, az OVHcloud alapítója szerint a rosszindulatú változat párizsi idő szerint 14:47-kor jelent meg, és 16:21-kor blokkolták, miután egy ügyfél jelezte a problémát. Klaba az X felületén azt írta: a beillesztett program feladata a lemezen tárolt titkos adatok megszerzése volt.

Az OpenSourceMalware szerint egy felhasználónál az automatizált hash-ellenőrzés hibát jelzett, ezután a GitHub felületén nyilvánosan is jelezte a manipulációt. A kutatók úgy találták, hogy a támadó a már megjelent kiadások eredeti fájljait írta felül a saját állományával.

Csak a legelterjedtebb platformokhoz készült változatokat cserélte le. A kutatók ebből arra következtetnek, hogy fejlesztői és üzemeltetői munkaállomásokon tárolt hitelesítési adatok megszerzése lehetett a cél.

Klaba közlése szerint a szoftver összeállítását és kiadását végző CI/CD-folyamatok nem voltak érintettek. A problémát az okozta, hogy nem kapcsolták be a GitHub kiadások megváltoztathatatlanságát biztosító beállítását.

Így egy megfelelő jogosultságú fiókkal közvetlenül lehetett módosítani a korábban közzétett kiadásokat, a CI/CD ellenőrzései nélkül. A vállalat azóta bekapcsolta ezt a védelmet. Ebben az esetben tehát nem az összeállítási folyamatba került idegen kód: a már elérhető letöltéseket írták felül.

Az OpenSourceMalware szerint a jogos OVHcloud-közreműködőhöz tartozó fiók legalább 2026 márciusa óta illetéktelen kézben volt. Akkor négy személyes kódtárát írták át, közülük háromba rejtett betöltőprogram került.

Ennek következő lépcsője a Solana blokkláncáról kérdezte le egy további program helyét, egy ismert GlassWorm-jelzőként azonosított tárcát használva. A kutatók ugyanakkor nem tudták igazolni, hogy a márciusi fiókeltérítést és az októberi támadást ugyanaz a szereplő hajtotta végre.

A most elhelyezett adatlopó fájlból az OpenSourceMalware nem tudott elemzésre alkalmas mintát szerezni, mielőtt az OVHcloud törölte a rosszindulatú állományokat.