Хакери са компрометирали GitHub акаунта на разработчик от OVHcloud и са го използвали, за да разпространяват злонамерени файлове чрез официалните версии на инструмента с команден ред (CLI) на компанията.

Атаката срещу веригата за доставки от 19 октомври 2026 г. е била насочена срещу потребители, изтеглящи OVHcloud CLI, като зловредният код е проектиран да събира чувствителни данни (secrets), съхранявани на техните компютри. Клиент е забелязал подозрителни промени в изданията и е предупредил облачния доставчик, който е блокирал злонамерените файлове в рамките на 94 минути.

Главният изпълнителен директор на OVHcloud Октав Клаба заяви, че засегнатите версии са v0.11.0, v0.12.0, v0.13.0, v0.14.0 и v0.15.0. Той посочи v0.10.0 като чиста и обяви защитено издание v0.16.0. Тази заменяща версия вече е достъпна на официалната страница с издания в GitHub на проекта, където е маркирана като неизменна (immutable), което означава, че публикуваните файлове към изданието не могат да бъдат променяни.

Атака срещу веригата за доставки на OVHcloud

Според информацията от Клаба компрометираните файлове са се появили в 14:47 ч. и са били открити и блокирани в 16:21 ч. Първоначалните проверки на OVHcloud не са установили други засегнати хранилища. Тези констатации ограничават потвърдения обхват само до проекта за CLI, вместо да установяват по-мащабен пробив в цялата GitHub организация или облачна платформа на компанията.

Атакуващият е използвал съществуващ акаунт на разработчик, за да добави компрометиран изпълним файл към софтуера, разпространяван чрез GitHub. Това е поставило заплахата на надеждно място за изтегляне, оставяйки потребителите с минимални основания да подозират, че рутинно сваляне на CLI инструмент би могло да изложи на риск техните локални идентификационни данни. От OVHcloud не са пояснили как първоначално е бил компрометиран акаунтът на разработчика.

Докладът на клиента изрази безпокойство относно подмяната на файловете от изданията с „dirty build“ на по-късен комит. При компилирането на софтуер това обозначение обикновено сигнализира за промени отвъд регистрираната изходна ревизия. Публичният списък с проблеми идентифицира доклада като проблем #300, обхващащ подменени активи за версии от v0.13.0 до v0.15.0. Предупреждението на OVHcloud посочи две допълнителни засегнати версии.

Клиентът също така постави под въпрос акаунта, извършил промените, и попита дали файловете от изданията не трябва да бъдат защитени от подмяна. Той сподели, че е преминал към компилиране чрез Go module proxy, докато очаква разяснения. Докладът му е бил публичен, тъй като хранилището е нямало частен канал за съобщаване на уязвимости.

Клаба описа добавената програма като двоичен файл, чиято задача е била да извлича тайни и идентификационни данни от диска. Той отбеляза, че качеството ѝ е било ниско, но предупреди, че въпреки това е можела да постигне целта си. Наличната публична информация не установява кои файлове са били претърсвани, къде са изпращани събраните данни, нито колко потребители са стартирали злонамерените файлове.

Стандартната роля на CLI прави тази заплаха особено сериозна. OVHcloud документира инструмента като средство за управление на облачни услуги, ресурси на профила и автоматизирани работни процеси. Поддържаните от него методи за автентикация включват локален .ovh.conf файл, съдържащ идентификационни данни, заедно с променливи на средата за ключове на приложения (application keys), тайни на приложения (application secrets) и потребителски ключове (consumer keys).

Тези документирани местоположения на идентификационни данни обясняват защо компрометиран административен инструмент може да създаде рискове, надхвърлящи самата изтеглена програма. Те обаче не представляват потвърден списък с мишените на този зловреден код. Докато OVHcloud не публикува своите технически заключения, конкретни твърдения за откраднати SSH ключове, пароли от браузъри, персистентност или инфраструктура на атакуващия биха надхвърлили наличните доказателства.

Инцидентът се вписва в по-широкия модел, разглеждан в публикациите на Cybersecuritynews.com за доверени софтуерни актуализации, използвани за кражба на данни на разработчици и достъпи до облачни среди. Киберпрестъпниците могат да използват откраднат достъп за публикуване, за да превърнат познатите канали за доставка на софтуер в маршрути за кражба на идентификационни данни, без да се налага потребителите да посещават фалшив уебсайт.

OVHcloud призова потребителите, които са изтеглили CLI по време на инцидента, незабавно да го обновят или да го изтрият. Клаба също така посъветва засегнатите потребители да сменят всички чувствителни данни, съхранявани на диска. Ротацията е важна, тъй като премахването на злонамерената програма не анулира идентификационните данни, които е възможно вече да са били копирани.

Организациите, разследващи потенциално засягане, трябва да идентифицират кои машини са изтеглили и стартирали засегнатите файлове, да запазят наличните доказателства и да прегледат активността на акаунтите, свързани с потенциално компрометирани данни. Техният отговор трябва да обхване не само данни за OVHcloud, ако на тези машини са били достъпни и други тайни. Предупреждението на компанията се отнася общо за локално съхраняваните чувствителни данни, а не само за нейните собствени ключове за достъп.

Свързаната кампания за кражба на идентификационни данни в GitHub – GhostAction – показва защо достъпът до хранилища изисква повишено внимание. Тази кампания използваше откраднати акаунти, за да внедрява злонамерени работни процеси под доверени самоличности. Към момента няма доказателства, които да я свързват с инцидента в OVHcloud. За потребителите на OVHcloud непосредствените приоритети остават подмяната на засегнатите изтеглени файлове и подновяването на потенциално компрометираните тайни, докато компанията продължава разследването на зловредния код и предстои да публикува допълнителни технически заключения.