---
title: Saldırganlar Beş OVHcloud CLI Sürümünü Ele Geçirerek Gizli Çalan Kötü Amaçlı Yazılım Dağıttı
url: https://www.dataloco.com/tr/saldirganlar-bes-ovhcloud-cli-surumunu-ele-gecirerek-gizli-calan-kotu-amacli-yazilim-dagitti
published: 2026-10-23T09:30:22+00:00
language: tr
section: Güvenlik
source: https://thehackernews.com/2026/10/hackers-hijack-five-ovhcloud-cli.html
organizations: OVHcloud, GitHub, OpenSourceMalware, GlassWorm, The Hacker News, Solana
publisher: Dataloco
---

# Saldırganlar Beş OVHcloud CLI Sürümünü Ele Geçirerek Gizli Çalan Kötü Amaçlı Yazılım Dağıttı

Bir saldırgan, Pazartesi günü mevcut beş OVHcloud komut satırı aracı sürümünün indirme arşivlerini değiştirmek için bir katkıda bulunanın GitHub hesabını kullandı. Bulut hizmeti sağlayıcısı, ele geçirilen bu hesap üzerinden yüklenen yeni dosyaların, çalıştırıldıkları herhangi bir makinenin diskinde depolanan gizli bilgileri çalmak üzere tasarlanmış bir yapı olduğunu belirtti. Bu olay, şirketin Nisan ve Eylül ayları arasında yayınladığı sürümleri etkiledi ve güvenlik açıklarının nasıl istismar edilebileceğine dair ciddi endişelere yol açtı.

Kötü amaçlı dosyalar, Evrensel Eşgüdümlü Saat ile 12:47 ile 14:21 arasında toplam doksan dört dakika boyunca GitHub üzerinde aktif kaldı. Bu zaman penceresinde macOS, Linux x86_64 veya arm64 ve Windows x86_64 platformlarında aracı yükleyen veya güncelleyen kullanıcılar etkilenmiş olabilir. Saldırgan, dosya bütünlüğünü doğrulayan herhangi bir karma değeri kontrol etmeyen bir dağıtım yolunu kullanarak değiştirilmiş ikili dosyaları sisteme soktu. Etkilenen sürümler arasında v0.11.0'dan v0.15.0'a kadar olan versiyonlar yer alırken, v0.10.0 sürümü temiz olarak listelenmiştir.

Saldırgan özellikle v0.15.0 sürümünde macOS ve Linux için hem x86_64 hem de arm64 mimarilerine ait arşivler ile Windows x86_64 arşivi dahil olmak üzere altı dosyayı değiştirdi. Ayrıca, yeni kötü amaçlı ikili dosyalarla eşleşmesi için checksums.txt dosyasındaki özet değerlerini de güncelledi. Benzer şekilde v0.11.0 ile v0.14.0 arasındaki sürümlerden de aynı altı dosya kaldırılmış durumdadır. Buna karşılık, Linux i386, Windows i386, Windows arm64 ve WebAssembly için oluşturulan yapılar tüm sürümlerde dokunulmadan bırakılmıştır. Şirket, akşam saatlerinde değiştirilen arşivleri silerek dosyalarının değiştirilmesine izin vermeyen değişmez bir v0.16.0 sürümü yayınladı.

Kaynak kodu, sürüm etiketi ve şirketin derleme hattı bu saldırıdan etkilenmedi. Kötü amaçlı yapı, daha sonraki bir işleme ait düz bir Go derlemesi olarak hazırlandı ve doğrudan mevcut sürümlerin üzerine yüklendi. Bir müşteri, Linux arm64 ikili dosyasındaki yapı bilgilerini çalıştırmadan okuyan bir komut ile ortaya çıkardı ve durumu herkese açık bir sorunda bildirdi. Ancak, bazı teknik işaretlerin kötü amaçlı yazılımı gösterdiği yönündeki yaygın tavsiyelerin, şirketin kendi temiz sürümlerini de yanlışlıkla işaretleyebileceği görüldü. Şirket, hangi dosyaların okunduğu, verilerin nereye gönderildiği veya kaç kopyanın indirildiği konusunda henüz bilgi vermedi.

Şirketin kurucusu, etkilenen herkesin disklerinde depolanan tüm gizli anahtarları değiştirmesi gerektiğini vurguladı. Komut satırı aracı, kimlik bilgilerini belirli bir yapılandırma dosyasında ve ortam değişkenlerinde tutmaktadır. Saldırının temel nedeni, GitHub'ın sürüm değişmezliği özelliğinin şirket tarafından etkinleştirilmemiş olmasıdır. Bu ayar, doğru izinlere sahip bir kullanıcının şirketin sürekli entegrasyon hattının kontrolü olmadan doğrudan GitHub üzerinde mevcut sürümleri değiştirmesine olanak tanıdı. Sorun tespit edildikten sonra bu özellik etkinleştirildi ve derleme hatlarının güvenliği korunduğu belirtildi.

Araştırmacılar, kullanılan hesabın daha önce yüzlerce Python deposuna kötü amaçlı yazılım enjekte eden bir kampanya ile bağlantılı olabileceğini öne sürdü. Hesabın kişisel depolarında Mart ayında yapılan zorlamalı gönderimlerle benzer bir yükleyici eklendiği tespit edildi. Ancak, Ekim ayındaki ikili dosyanın bu önceki kampanyayla doğrudan bağlantılı olduğuna dair somut bir kanıt bulunmamaktadır çünkü değiştirilmiş arşivlerin hiçbir kopyası kamuya açık analiz için korunmamıştır. Şirket, olayla ilgili detaylı bir kök neden analizi raporunu önümüzdeki günlerde paylaşmayı taahhüt etmiştir.

## This story in other languages

- [Português (Brasil)](https://www.dataloco.com/pt-br/atacantes-comprometem-cinco-lancamentos-da-cli-da-ovhcloud-para-distribuir-malware-de-roubo-de-segredos)
- [日本語](https://www.dataloco.com/ja/ovhcloud5)
- [Italiano](https://www.dataloco.com/it/hacker-hijacka-cinque-pubblicazioni-cli-di-ovhcloud-per-distribuire-malware-ruba-segreti)
- [Français](https://www.dataloco.com/fr/hackers-detournent-cinq-versions-de-linterface-en-ligne-de-commande-ovhcloud-pour-distribuer-un-logiciel-malveillant-volant-des-secrets)
- [Svenska](https://www.dataloco.com/sv/hackers-erovrade-fem-ovhcloud-clislapp-for-att-sprida-sekretstoldande-malware)
- [Español](https://www.dataloco.com/es/atacantes-secuestran-cinco-versiones-de-la-herramienta-de-linea-de-comandos-de-ovhcloud-para-distribuir-malware)
- [Русский](https://www.dataloco.com/ru/xakery-podmenili-piat-relizov-instrumenta-ovhcloud-dlia-rasprostraneniia-vredonosnogo-po)