Säkerhet · 23 oktober 2026
Hackers Erövrade Fem OVHcloud CLI‑släpp för Att Sprida Sekretstöldande Malware
En angripare använde en bidragares GitHub‑konto för att ersätta arkiv i fem befintliga släpp av OVHclouds kommando‑radverktyg på måndagen den 19 oktober. Kontot hade kapats och de nya filerna var en byggnad designad för att stjäla hemligheter lagrade på disken hos alla maskiner som kör verktyget, uppgav molnleverantören.
De var live på GitHub i upp till 94 minuter, från 12:47 till 14:21 UTC, och nådde endast personer som installerade eller uppdaterade OVHcloud CLI under den perioden via en sökväg som kontrollerar att ingen hash‑kontroll körs, på macOS, Linux x86_64 eller arm64, samt Windows x86_64.
OVHcloud tog bort de bytta arkiven och publicerade ett rent v0.16.0 som ett oändringsbart släpp samma kväll, vilket GitHub förhindrar att någon kan ändra. Källkoden, släpp‑taggen och företagets byggpipeline påverkades inte: den skadliga byggnaden var en vanlig go build av ett senare commit som laddades upp direkt på släpp som publicerades mellan april och september.
På v0.15.0 ersatte angriparen sex filer: macOS‑arkiv för x86_64 och arm64, Linux‑arkiv för x86_64 och arm64, Windows‑arkiv för x86_64 samt filen checksums.txt så att de publicerade hash‑värdena matchade de nya binära filerna. Samma sex filer har nu tagits bort från v0.11.0 till v0.14.0.
Linux i386, Windows i386, Windows arm64 och WebAssembly‑byggnader lämnades intakta på alla släpp.
OVHcloud markerar v0.11.0 till v0.15.0 som kompromissade och v0.10.0 som rent. De fem släppen publicerades mellan 14 april och 16 september, så en installation gjord före 12:47 UTC på måndagen och som inte har uppdaterats sedan är den ursprungliga.
Du fick ett bytt arkiv om du, under den perioden och på någon av dessa plattformar,
Kund som upptäckte bytet extraherade versionsinformationen ur den nya v0.15.0‑Linux‑arm64‑binära filen med kommandot go version -m, vilket läser filen utan att köra den och publicerade resultatet i en GitHub‑issue. Tre tecken på den skadliga byggnaden är:
Råd som cirkulerar att alla byggnader märkta +dirty eller med vcs‑rader är skadliga skulle flagga OVHclouds egna släpp. Hacker News körde samma kommando på den rena v0.16.0‑Linux‑x86_64‑filen och fick v0.16.0+dirty, vcs.modified=true och commit‑information.
Den enda publika hash‑värdet för ett bytt arkiv är för v0.15.0‑Linux‑arm64‑arkivet:
En byggnad utan versionsflagga rapporterar versionen som undefined, men att köra en misstänkt binär för att undersöka är inte rekommenderat.
OVHcloud‑grundaren Octave Klaba meddelade på X att alla drabbade ska byta ut alla hemligheter på disken.
CLI‑verktyget lagrar OVHcloud‑API‑uppgifter i ~/.ovh.conf och läser dem från miljövariabler, enligt dokumentationen, och råden omfattar hela disken, inte bara dessa filer.
Företaget har inte avslöjat vilka filer den skadliga binära filen läser, var den skickar dem eller hur många kopior som laddades ner, och ingen analys av ett bytt arkiv har offentliggjorts. Ett detaljerat postmortem lovas inom kort.
Den som har skrivrätt till ett GitHub‑repository kan radera filer i ett släpp och ladda upp nya med samma namn, och nedladdnings‑URL:n förändras inte om släpp‑immutabilitet är aktiverad.
Inställningen, allmänt tillgänglig sedan oktober 2025, låser släppets filer och tag men skyddar endast släpp skapade efter att alternativet aktiverades.
OVHcloud aktiverade inte alternativet. I ett andra inlägg på måndagskvällen, citerat av Next, skrev Klaba att problemet berodde på att immutabilitetsalternativet inte var aktiverat, vilket gjorde att en användare med rätt behörighet kan modifiera befintliga släpp direkt på GitHub utan att företagets CI/CD‑pipeline gör några kontroller. Alternativet är nu aktiverat och pipelines påverkades inte.
De fem gamla släppen erbjuder nu bara de fyra arkiv som angriparen inte berörde.
Laddningarna skedde via ett konto tillhörande en bidragare vars arbete är integrerat i OVHclouds dokumentations‑repository och som inte är en offentlig medlem av organisationen, enligt OpenSourceMalware som byggde en tidslinje från GitHubs server‑poster.
Byggprocessen kördes aldrig: arbetslistan visar inget workflow mellan den 16 oktober och taggen v0.16.0 som pushades 16:00 UTC på måndagen. Första kontrollerna visade ingen annan repository som påverkades, skrev Klaba, och företaget har inte berättat hur kontots autentiseringsuppgifter stulits.
En kunds CI‑jobb upptäckte bytet eftersom det låser SHA‑256‑hashen för Linux‑arm64‑arkivet och började misslyckas. Eftersom det saknades ett privat rapporteringskanal i repositoryn, öppnade OpenSourceMalware en offentlig issue 13:50 UTC och OVHcloud tog bort de bytta filerna cirka halvklart senare, 14:21 UTC (16:21 i Paris). v0.16.0 publicerades 17:16 UTC under företagets ovh‑cds‑konto med ett signerat tag.
OpenSourceMalware kopplar kontot till malware‑kampanjen GlassWorm, som gömmer kod i osynliga Unicode‑tecken och hämtar nästa steg från memo‑fältet i en Solana‑plånboks transaktioner. Fyra av kontots privata repositoryer pushades kraftigt den 5 och 6 mars med en förändrad commit som läggde till en loader av den typen, enligt forskarna.
Plånboken som loadern läser är den som nämns i GlassWorms ForceMemo‑kampanj, som tidigare kraftpushade malware i hundratals Python‑repository i mars med stulna GitHub‑token. Hacker News bekräftade att loadern‑filen fortfarande finns i ett av dessa repository med den hash som forskarna publicerade.
Det är "vår slutsats" att samma aktör ligger bakom båda händelserna, skrev forskarna. Det gemensamma kontot är länken, och inget från den okända oktober‑binära filen har kunnat kopplas till GlassWorm eftersom ingen kopia bevarades.