---
title: Hackers détournent cinq versions de l'interface en ligne de commande OVHcloud pour distribuer un logiciel malveillant volant des secrets
url: https://www.dataloco.com/fr/hackers-detournent-cinq-versions-de-linterface-en-ligne-de-commande-ovhcloud-pour-distribuer-un-logiciel-malveillant-volant-des-secrets
published: 2026-10-23T08:24:58+00:00
language: fr
section: Sécurité
source: https://thehackernews.com/2026/10/hackers-hijack-five-ovhcloud-cli.html
organizations: OVHcloud, GitHub
publisher: Dataloco
---

# Hackers détournent cinq versions de l'interface en ligne de commande OVHcloud pour distribuer un logiciel malveillant volant des secrets

Un attaquant a utilisé un compte GitHub d'un contributeur pour remplacer les archives de cinq versions existantes de l'interface en ligne de commande OVHcloud le lundi 19 octobre. Le compte avait été détourné et les nouveaux fichiers étaient conçus pour voler les secrets stockés sur le disque de toute machine qui les exécute, a déclaré le fournisseur de cloud. Les fichiers ont été accessibles pendant environ 94 minutes, de 12h47 à 14h21 UTC, et ont touché uniquement les utilisateurs qui ont installé ou mis à jour l'interface en ligne de commande OVHcloud pendant cette période, via un chemin qui vérifie l'absence de hachage, sur macOS, Linux x86_64 ou arm64, ou Windows x86_64. OVHcloud a supprimé les archives remplacées et publié une version propre v0.16.0 le soir même en tant que publication immuable, dont les fichiers GitHub ne permettront plus aucune modification. Le code source, l'étiquette de publication et la chaîne d'intégration continue de la société n'ont pas été touchés : le mauvais build était simplement un build Go d'un commit ultérieur, chargé directement sur les publications publiées entre avril et septembre. Sur la version v0.15.0, l'attaquant a remplacé six fichiers : les archives macOS x86_64 et arm64, les archives Linux x86_64 et arm64, l'archive Windows x86_64 et le fichier checksums.txt, de sorte que les hachages publiés correspondent aux nouveaux binaires. Les mêmes six fichiers ont été retirés des versions v0.11.0 à v0.14.0. Les builds Linux i386, Windows i386, Windows arm64 et WebAssembly ont été laissés intacts sur toutes les versions. OVHcloud classe les versions v0.11.0 à v0.15.0 comme compromises et v0.10.0 comme propre. Ces cinq versions ont été publiées entre le 14 avril et le 16 septembre, donc une installation réalisée avant 12h47 UTC le lundi et non mise à jour depuis est la version originale. Un fichier échangé a été détecté si, pendant cette fenêtre et sur l'une de ces plateformes, vous avez exécuté l'outil. Le client qui a découvert le remplacement a extrait les informations de build à partir du binaire Linux arm64 de la version v0.15.0 avec l'option go version -m, qui lit le fichier sans l'exécuter, et l'a partagé dans une question GitHub. Trois éléments identifient le build malveillant : la présence d'une mention +dirty, la présence de lignes vcs et la correspondance des hachages.

Un conseil circulant selon lequel tout build marqué +dirty ou contenant des lignes vcs serait malveillant aurait signalé la propre publication d'OVHcloud. Le même test effectué sur le binaire Linux x86_64 propre de la version v0.16.0 a révélé v0.16.0+dirty, vcs.modified=true et le commit d'origine. La seule hachage publié d'un fichier échangé est celle de l'archive Linux arm64 de la version v0.15.0. Un build sans le drapeau de version indiquerait une version indéfinie, mais exécuter un binaire suspect n'est pas recommandé. Le fondateur d'OVHcloud, Octave Klaba, a écrit sur X le lundi soir que les personnes affectées doivent changer chaque secret stocké sur le disque. L'interface en ligne de commande conserve les identifiants API OVHcloud dans le fichier ~/.ovh.conf et les lit depuis les variables d'environnement, selon sa documentation, et le conseil couvre l'ensemble du disque, pas seulement ces fichiers. OVHcloud n'a pas précisé quels fichiers le binaire lit, où il les envoie ou combien de copies ont été téléchargées, et aucune archive échangée n'a été analysée publiquement. La société a promis un rapport postmortem détaillé dans les prochains jours. Toute personne disposant d'un accès en écriture à un dépôt GitHub peut supprimer les fichiers attachés à une publication et en ajouter de nouveaux avec les mêmes noms, et l'URL de téléchargement ne change que si l'immuabilité de la publication est activée. Cette fonctionnalité, généralement disponible depuis octobre 2025, verrouille les fichiers et l'étiquette d'une publication mais ne protège que les publications créées après son activation. OVHcloud n'avait pas activé cette option. Dans un second message publié le lundi soir, cité par Next, Klaba a indiqué que le problème provenait du fait que l'option d'immuabilité n'était pas activée, ce qui permettait à un utilisateur disposant des droits appropriés de modifier directement les publications existantes sur GitHub sans aucune vérification par la chaîne d'intégration continue de la société. L'option a maintenant été activée et les chaînes d'intégration continuent de fonctionner normalement. Les cinq anciennes publications ne proposent désormais plus que les quatre archives que l'attaquant n'a pas modifiées. Les téléchargements ont été effectués via le compte d'un contributeur dont le travail fusionné se trouve dans le dépôt de documentation d'OVHcloud et qui n'est pas un membre public de l'organisation, selon OpenSourceMalware, qui a reconstruit une chronologie à partir des enregistrements serveur de GitHub.

La chaîne d'intégration n'a jamais été exécutée : la liste des tâches montre aucune chaîne entre le 16 octobre et le push de l'étiquette v0.16.0 à 16h00 UTC le lundi. Les premiers contrôles n'ont révélé aucune autre publication affectée, a écrit Klaba dans son premier message, et OVHcloud n'a pas indiqué comment les identifiants du compte ont été volés. Un travail d'intégration continue d'un client a détecté le remplacement parce qu'il associe le SHA-256 de l'archive Linux arm64 et a commencé à échouer. Sans canal de signalement privé, le client a publié une question publique à 13h50 UTC selon le calendrier d'OpenSourceMalware, et OVHcloud a supprimé les fichiers échangés environ trente minutes plus tard, à 14h21 UTC (16h21 à Paris). La version v0.16.0 a été publiée à 17h16 UTC sous le compte ovh-cds avec une étiquette signée. OpenSourceMalware relie ce compte à la campagne de logiciel malveillant GlassWorm, qui dissimule du code dans des caractères Unicode invisibles et récupère la prochaine étape depuis le champ memo d'un portefeuille Solana. Quatre des dépôts personnels du compte ont été forcés à être réécrits le 5 et 6 mars avec un commit modifié ajoutant un chargeur de ce type, selon les chercheurs. Le portefeuille utilisé par le chargeur correspond à la campagne ForceMemo de GlassWorm, qui a forcé la diffusion de logiciels malveillants dans des centaines de dépôts Python en mars en utilisant des tokens GitHub volés. Le Hacker News a confirmé que le fichier de chargeur est toujours présent dans l'un de ces dépôts, avec le hachage publié par les chercheurs. Il n'est pas encore établi si le même acteur est à l'origine des deux incidents, ont indiqué les chercheurs, mais le compte partagé constitue le lien, et aucune partie du binaire d'octobre n'a été associée à GlassWorm, car aucune copie n'a été conservée.

## This story in other languages

- [Português (Brasil)](https://www.dataloco.com/pt-br/atacantes-comprometem-cinco-lancamentos-da-cli-da-ovhcloud-para-distribuir-malware-de-roubo-de-segredos)
- [日本語](https://www.dataloco.com/ja/ovhcloud5)
- [Italiano](https://www.dataloco.com/it/hacker-hijacka-cinque-pubblicazioni-cli-di-ovhcloud-per-distribuire-malware-ruba-segreti)
- [Svenska](https://www.dataloco.com/sv/hackers-erovrade-fem-ovhcloud-clislapp-for-att-sprida-sekretstoldande-malware)
- [Español](https://www.dataloco.com/es/atacantes-secuestran-cinco-versiones-de-la-herramienta-de-linea-de-comandos-de-ovhcloud-para-distribuir-malware)
- [Türkçe](https://www.dataloco.com/tr/saldirganlar-bes-ovhcloud-cli-surumunu-ele-gecirerek-gizli-calan-kotu-amacli-yazilim-dagitti)
- [Русский](https://www.dataloco.com/ru/xakery-podmenili-piat-relizov-instrumenta-ovhcloud-dlia-rasprostraneniia-vredonosnogo-po)