Warnung für OVHcloud-Kunden. Nachdem das GitHub-Konto kompromittiert wurde, wurden fünf Versionen seines Open-Source-Befehlszeilentools (CLI) veröffentlicht) wurden geändert, um Malware einzuschließen. Dank der Wachsamkeit eines Kunden konnte der Cybersicherheitsvorfall schnell erkannt werden.
Wie war die Vorgehensweise des Angreifers?
Am 19. Oktober nutzte ein Angreifer den Zugriff eines Mitwirkenden, um die Download-Archive der Versionen 0.11.0 bis 0.15.0 der OVHcloud CLI direkt auf GitHub zu ersetzen.
Octave Klaba, Chef von OVHcloud, stellte klar: „ die CLI-Version von 14:47 Uhr. wurde von einem Hacker kompromittiert. Wir haben es um 16:21 Uhr entdeckt und blockiert. „Das Belichtungsfenster betrug also genau 94 Minuten.
Der ausgenutzte Fehler lag nicht im Quellcode oder in den Continuous-Integration-Pipelines, sondern in einer GitHub-Konfiguration. “ Das Problem liegt an der Option zur Release-Unveränderlichkeit auf Github, die nicht aktiviert wurde. „Seine Abwesenheit ermöglichte es dem Angreifer, seine lokal kompilierten bösartigen Binärdateien hochzuladen, ohne die üblichen Sicherheitsprüfungen durchlaufen zu müssen.
Wir haben die Analyse abgeschlossen. Die CI/CD-Pipelines mit Unit-Tests, offiziellen Tests, CVE-Erkennung usw. waren nicht betroffen. Das Problem liegt an der Option zur Release-Unveränderlichkeit auf Github, die nicht aktiviert wurde. So könnte ein Benutzer mit den entsprechenden Rechten bestehende Releases direkt auf Github ändern, ohne jegliche Kontrolle über unser CI/CD. Die Option wurde aktiviert. Ende des Vorfalls. Wir entschuldigen uns für etwaige Auswirkungen, die dadurch verursacht wurden.
– Octave Klaba (@olesovhcom) 19. Oktober 2026
Welche Risiken bestehen für Benutzer?
Die bösartige Binärdatei hatte das Ziel: „ Geheimnisse von der Festplatte abrufen „. Dazu gehören Identifikatoren, API-Schlüssel, Token und alle anderen vertraulichen Informationen, auf die auf dem Computer eines Entwicklers oder Administrators zugegriffen werden kann.
OVHcloud-Empfehlung ist eindeutig. Für jeden, der das Tool während des kritischen Fensters heruntergeladen oder aktualisiert hat, ist es unbedingt erforderlich, „ Ändern Sie alle Geheimnisse auf Ihrer Festplatte „.
Es wird empfohlen, diesen Vorgang von einem fehlerfreien Computer aus durchzuführen, die beschädigte Binärdatei zu löschen und die neue sichere Version 0.16.0 (oder 0.10.0) zu installieren, die jetzt als unveränderliche Version veröffentlicht wird.
Wer könnte hinter diesem Angriff stecken?
Untersuchungen der Threat-Intelligence-Plattform OpenSourceMalware legen eine Verbindung zu Glassworm nahe.
Das kompromittierte Konto nutzte mehrere Monate lang verdächtige Aktivitäten und nutzte angeblich Techniken im Zusammenhang mit Glassworm, darunter einen Loader preinstall.js versteckt und eine Verbindung mit der Solana-Blockchain. Die bösartige Binärdatei wurde jedoch nicht öffentlich analysiert.
