Seguridad · 23 de octubre de 2026
Atacantes secuestran cinco versiones de la herramienta de línea de comandos de OVHcloud para distribuir malware
Un atacante utilizó la cuenta de GitHub de un colaborador para reemplazar los archivos de descarga en cinco versiones existentes de la herramienta de línea de comandos de OVHcloud el lunes 19 de octubre. El proveedor de nube informó que la cuenta había sido secuestrada y que los nuevos archivos consistían en una compilación diseñada para robar secretos almacenados en el disco de cualquier máquina que la ejecutara.
Los archivos maliciosos estuvieron disponibles en GitHub durante un máximo de 94 minutos, específicamente desde las 12:47 hasta las 14:21 UTC. El impacto se limitó a las personas que instalaron o actualizaron la herramienta de línea de comandos de OVHcloud en ese intervalo, a través de una ruta que no verifica el hash, en sistemas macOS, Linux x86_64 o arm64, y Windows x86_64.
OVHcloud eliminó los archivos sustituidos y publicó la versión 0.16.0 esa misma noche como una versión inmutable, lo que impide que GitHub permita cambios en los archivos. La empresa aclaró que el código fuente, la etiqueta de versión y el flujo de trabajo de compilación no fueron alterados, ya que la compilación maliciosa fue una carga directa de un commit posterior en versiones publicadas entre abril y septiembre.
En la versión 0.15.0, el atacante reemplazó seis archivos: los archivos de macOS x86_64 y arm64, los de Linux x86_64 y arm64, el de Windows x86_64 y el archivo de sumas de comprobación, para que los hashes publicados coincidieran con los binarios nuevos. Estos mismos seis archivos también fueron sustituidos en las versiones de la 0.11.0 a la 0.14.0. Las compilaciones de Linux i386, Windows i386, Windows arm64 y WebAssembly no fueron afectadas en ninguna versión.
La compañía clasifica las versiones de la 0.11.0 a la 0.15.0 como comprometidas y la 0.10.0 como limpia. Octave Klaba, fundador de OVHcloud, recomendó que cualquier persona afectada cambie todos los secretos almacenados en su disco. Esto incluye las credenciales de la API de OVHcloud guardadas en el archivo de configuración y las variables de entorno.
El incidente fue detectado por un cliente cuyo trabajo de integración continua falló al fijar el SHA-256 del archivo de Linux arm64. El usuario reportó el problema mediante un problema público en GitHub a las 13:50 UTC. OVHcloud ha prometido un análisis detallado en los próximos días, aunque no ha especificado qué archivos lee el binario, a dónde los envía ni cuántas copias fueron descargadas.
El problema se originó porque la opción de inmutabilidad de GitHub no estaba activada, permitiendo que un usuario con permisos modificara versiones existentes sin pasar por el flujo de trabajo de la empresa. Investigadores de OpenSourceMalware vinculan la cuenta secuestrada con la campaña de malware GlassWorm, basándose en que repositorios personales de dicha cuenta fueron modificados en marzo con cargadores similares a los usados en la campaña ForceMemo.