--- title: Hacker hijacka cinque pubblicazioni CLI di OVHcloud per distribuire malware ruba-segreti url: https://www.dataloco.com/it/hacker-hijacka-cinque-pubblicazioni-cli-di-ovhcloud-per-distribuire-malware-ruba-segreti published: 2026-10-23T07:29:13+00:00 language: it section: Sicurezza source: https://thehackernews.com/2026/10/hackers-hijack-five-ovhcloud-cli.html organizations: OVHcloud, GitHub publisher: Dataloco --- # Hacker hijacka cinque pubblicazioni CLI di OVHcloud per distribuire malware ruba-segreti Un attaccante ha usato un account GitHub di un collaboratore per sostituire gli archivi di cinque versioni rilasciate di OVHcloud CLI lunedì 19 ottobre. L'account era stato hijackato e i nuovi file erano una build progettata per rubare segreti memorizzati sul disco di qualsiasi macchina che la esegue, ha dichiarato il provider cloud. Le versioni erano live su GitHub per un periodo di 94 minuti, dalle 12:47 alle 14:21 UTC, e hanno colpito solo gli utenti che hanno installato o aggiornato la CLI durante quella finestra, tramite un percorso che verifica l'assenza di hash, su macOS, Linux x86_64 o arm64, o Windows x86_64. OVHcloud ha eliminato gli archivi sostituiti e ha pubblicato una versione pulita v0.16.0 quella sera come rilascio immutabile, il cui codice sorgente, il tag di rilascio e la pipeline di build non sono stati toccati: la build malevola era un semplice go build di un commit successivo, caricato direttamente sulle versioni rilasciate tra aprile e settembre. Sui rilasci v0.15.0 l'attaccante ha sostituito sei file: gli archivi macOS x86_64 e arm64, gli archivi Linux x86_64 e arm64, l'archivio Windows x86_64 e il file checksums.txt, in modo che le hash pubblicate corrispondessero ai nuovi binari. Gli stessi sei file sono stati rimossi anche dalle versioni v0.11.0 a v0.14.0. Le versioni Linux i386, Windows i386, Windows arm64 e WebAssembly sono rimaste intatte su tutte le versioni. OVHcloud elenca le versioni v0.11.0 a v0.15.0 come compromesse e v0.10.0 come pulita. Queste cinque versioni sono state pubblicate tra il 14 aprile e il 16 settembre, quindi una copia installata prima delle 12:47 UTC di lunedì e non aggiornata successivamente è la versione originale. Un utente ha ottenuto un file sostituito se, in quella finestra e su una delle piattaforme supportate, ha: Il cliente che ha scoperto lo scambio ha estratto le informazioni di build dal nuovo binario Linux arm64 v0.15.0 con il comando go version -m, che legge il file senza eseguirlo, e le ha pubblicate in una questione su GitHub. Tre elementi indicano la build malevola: La consapevolezza diffusa secondo cui qualsiasi build contrassegnata con +dirty o con vcs lines è malevola avrebbe segnalato il rilascio ufficiale di OVHcloud. The Hacker News ha eseguito lo stesso comando sul binario Linux x86_64 pulito v0.16.0: ha riportato v0.16.0+dirty, vcs.modified=true e il commit da cui era stato costruito. L'unica hash pubblicata di un file sostituito è l'archivio Linux arm64 v0.15.0: Una build senza il flag di versione riporta la versione come indefinita, ma eseguire un binario sospetto per scoprirlo non è consigliabile. Il fondatore di OVHcloud, Octave Klaba, ha scritto su X nella serata di lunedì che chi è stato colpito deve cambiare ogni segreto memorizzato sul disco. La CLI conserva le credenziali API di OVHcloud nel file ~/.ovh.conf e le legge dalle variabili d'ambiente, secondo la documentazione, e il consiglio copre tutto il resto del disco, non solo quei file. OVHcloud non ha specificato quali file il binario legge, dove li invia o quanti copie sono stati scaricati, e nessuna copia di un archivio sostituito è stata analizzata pubblicamente. L'azienda ha promesso un postmortem dettagliato nei prossimi giorni. Chiunque abbia accesso in scrittura a un repository GitHub può eliminare i file allegati a un rilascio e caricarne di nuovi con gli stessi nomi, e l'URL di download non cambia a meno che l'immutabilità del rilascio non sia abilitata. La funzionalità, generalmente disponibile da ottobre 2025, blocca i file e il tag di un rilascio, ma protegge solo i rilasci creati dopo l'abilitazione. OVHcloud non aveva attivato l'opzione. In un secondo post lunedì sera, citato da Next, Klaba ha scritto che il problema è derivato dall'opzione di immutabilità non essere attiva, quindi un utente con le autorizzazioni adeguate poteva modificare direttamente i rilasci esistenti su GitHub senza controlli da parte della pipeline CI/CD dell'azienda. L'opzione è stata attivata ora, e le pipeline stesse non sono state compromesse. Le cinque versioni precedenti ora offrono solo gli quattro archivi che l'attaccante non ha modificato. Gli upload sono stati effettuati tramite l'account di un collaboratore il cui lavoro mergeato si trova nel repository di documentazione di OVHcloud e che non è un membro pubblico dell'organizzazione, secondo OpenSourceMalware, che ha costruito una timeline dai record server-side di GitHub. Il workflow di rilascio non è stato eseguito: l'elenco delle esecuzioni non mostra alcun workflow tra il 16 ottobre e il push del tag v0.16.0 alle 16:00 UTC di lunedì. I primi controlli non hanno rilevato altri repository compromessi, ha scritto Klaba nel suo primo post, e OVHcloud non ha dichiarato come le credenziali dell'account siano state rubate. Un job CI di un cliente ha rilevato lo scambio perché ha fissato l'hash SHA-256 dell'archivio Linux arm64 e ha iniziato a fallire. Senza canale di segnalazione privata sul repository, il cliente ha aperto una questione pubblica alle 13:50 UTC, secondo la timeline di OpenSourceMalware, e OVHcloud ha eliminato i file sostituiti circa mezz'ora dopo, alle 14:21 UTC (16:21 a Parigi). v0.16.0 è stato pubblicato alle 17:16 UTC, sotto il conto ovh-cds con un tag firmato. OpenSourceMalware collega l'account alla campagna malware GlassWorm, che nasconde codice in caratteri Unicode invisibili e recupera lo stage successivo dal campo memo di una transazione di un portafoglio Solana. Quattro repository personali dell'account sono stati force-pushed il 5 e 6 marzo con un commit modificato che ha aggiunto un loader di quel tipo, hanno scoperto i ricercatori. Il loader legge il portafoglio denominato nella campagna ForceMemo di GlassWorm, che ha force-pushed malware in centinaia di repository Python a marzo usando token GitHub rubati. The Hacker News ha confermato che il file loader è ancora presente in uno di quei repository, con l'hash pubblicato dai ricercatori. Se lo stesso attore ha compiuto entrambi gli attacchi è "una nostra inferenza", hanno scritto i ricercatori. L'account condiviso è il collegamento, e nulla del binario di ottobre è stato collegato a GlassWorm, perché nessuna copia è stata preservata. ## This story in other languages - [Português (Brasil)](https://www.dataloco.com/pt-br/atacantes-comprometem-cinco-lancamentos-da-cli-da-ovhcloud-para-distribuir-malware-de-roubo-de-segredos) - [日本語](https://www.dataloco.com/ja/ovhcloud5) - [Français](https://www.dataloco.com/fr/hackers-detournent-cinq-versions-de-linterface-en-ligne-de-commande-ovhcloud-pour-distribuer-un-logiciel-malveillant-volant-des-secrets) - [Svenska](https://www.dataloco.com/sv/hackers-erovrade-fem-ovhcloud-clislapp-for-att-sprida-sekretstoldande-malware) - [Español](https://www.dataloco.com/es/atacantes-secuestran-cinco-versiones-de-la-herramienta-de-linea-de-comandos-de-ovhcloud-para-distribuir-malware) - [Türkçe](https://www.dataloco.com/tr/saldirganlar-bes-ovhcloud-cli-surumunu-ele-gecirerek-gizli-calan-kotu-amacli-yazilim-dagitti) - [Русский](https://www.dataloco.com/ru/xakery-podmenili-piat-relizov-instrumenta-ovhcloud-dlia-rasprostraneniia-vredonosnogo-po)