攻撃者がOVHcloudのコマンドラインツール5つのリリースを乗っ取り、機密情報を盗むマルウェアを配布

OVHcloudは差し替えられたアーカイブを削除し、同日夕方に、GitHubがファイルの変更を許可しない不変のリリースとして、クリーンなバージョン0.16.0を公開しました。ソースコード、リリースタグ、および同社のビルドパイプラインは操作されていません。悪意のあるビルドは、4月から9月の間に公開されたリリースに直接アップロードされた、後のコミットに基づく単純なgoビルドでした。

バージョン0.15.0では、macOSのx86_64およびarm64、Linuxのx86_64およびarm64、Windowsのx86_64のアーカイブと、公開されたハッシュが新しいバイナリと一致するように書き換えられたchecksums.txtの計6つのファイルが差し替えられました。同様の6つのファイルがバージョン0.11.0から0.14.0でも削除されています。一方で、Linux i386、Windows i386、Windows arm64、およびWebAssemblyのビルドは、すべてのリリースでそのまま維持されていました。

OVHcloudは、バージョン0.11.0から0.15.0を侵害済みとし、バージョン0.10.0をクリーンであるとしています。これら5つのリリースは4月14日から9月16日の間に公開されたため、月曜日の協定世界時12時47分より前にインストールされ、それ以降更新されていないコピーはオリジナルであるとされます。

OVHcloudの創設者であるOctave Klaba氏は、月曜日の夕方にXへの投稿で、影響を受けた人はディスクに保存されているすべての機密情報を変更すべきだと述べました。ドキュメントによると、このツールはAPI資格情報を ~/.ovh.conf に保持し、環境変数から読み取りますが、同氏のアドバイスはこれらのファイルだけでなく、ディスク上のあらゆる情報を対象としています。

この問題は、リリースの不変オプションが有効になっていなかったために発生しました。これにより、適切な権限を持つユーザーが、同社のCI/CDパイプラインによるチェックを受けることなく、GitHub上で既存のリリースを直接修正することが可能となっていました。現在はこのオプションが有効化されています。

アップロードに使用されたのは、ドキュメントリポジトリに統合された成果物を持つ寄稿者のアカウントでしたが、この人物は組織の公開メンバーではありません。OpenSourceMalwareは、このアカウントを、不可視のUnicode文字にコードを隠し、Solanaウォレットのトランザクションのメモフィールドから次のステージを取得するマルウェアキャンペーンであるGlassWormに関連付けています。研究者は、3月5日と6日にこのアカウントの個人リポジトリ4つが強制プッシュされ、同様のローダーを追加する修正コミットが行われていたことを発見しました。研究者は、同一の主体が両方を行ったというのは推論であるとしています。