Glassworm подменила бинарные файлы инструмента OVHcloud
19 октября 2026 года участники группировки Glassworm скомпрометировали канал распространения CLI-инструмента OVHcloud и подменили бинарные файлы релизов с v0.11.0 по v0.15.0. OVHcloud удалил вредоносные файлы в 14:21 UTC и через несколько часов выпустил чистую версию v0.16.0.
Подмена произошла с 12:47 до 13:12 UTC через скомпрометированную учётную запись GitHub HassenBF и GitHub Releases API. Исходный код, теги и рабочие процессы GitHub Actions не менялись. Затронутыми платформами стали macOS, Linux x86_64 и arm64, а также Windows x86_64. Сборки для i386, Windows arm64 и WASM не подменяли.
Вредоносные бинарные файлы собрали вручную на рабочей станции, а не через конвейер GoReleaser проекта. Метаданные сборки содержали vcs.modified=true, суффикс +dirty, неожиданный коммит из дерева разработки v0.16 и не содержали стандартного флага линковщика версии. В итоге бинарный файл сообщал псевдоверсию, а не тег релиза. Эти признаки указывают на то, что злоумышленник, вероятно, изменил незакоммиченную локальную копию кода и загрузил собранные файлы непосредственно в существующие релизы.
Учётная запись HassenBF была скомпрометирована не позднее марта 2026 года. Злоумышленники переписывали репозитории скриптами, выполнявшими операции amend и force-push, и внедрили скрытый загрузчик preinstall.js. Он задерживает выполнение, избегает систем, идентифицированных как российские, создаёт файл ~/init.json для ограничения частоты запуска и получает URL второго этапа из мемо транзакции Solana. Загрузчик обращается к публичным RPC-эндпоинтам Solana, ищет кошелёк, связанный с индикаторами Glassworm, декодирует мемо и выполняет полученный полезный груз.
Заменённый полезный груз CLI восстановить не удалось. Его точное поведение при краже данных и управлении остаётся неизвестным.
Затронутыми могут быть пользователи, которые установили или обновили CLI в период уязвимости с помощью install.sh, Homebrew, загрузок релизов с GitHub, задач CI или Dockerfile, использующих архивы релизов. Авторы отчёта рекомендуют считать скомпрометированными все учётные данные, доступные с хоста, и сменить их с отдельного устройства, удалить бинарный файл и установить версию v0.16.0 или более позднюю. Среди таких данных могут быть учётные данные OVHcloud, облачные ключи, SSH-ключи, токены реестров пакетов, конфигурации Kubernetes и файлы .env.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
