Злоумышленники подменили бинарные файлы релизов OVHcloud CLI
19 октября 2026 года злоумышленники подменили релизные бинарные файлы в репозитории OVHcloud CLI на GitHub. Сначала, в 14:47 по UTC+2, заменили файл для Darwin версии 0.15.0, к 14:57 подмена затронула все бинарные файлы этой версии, а к 15:30 распространилась на версии с 0.11.0 по 0.15.0. После жалобы клиента началось расследование, и в 16:21 вредоносные файлы удалили. Позже OVHcloud выпустила чистую версию 0.16.0 с подписанным тегом и настроила неизменяемый режим релизов.
Скомпрометированные файлы были пересобранными версиями легитимного CLI-инструмента на Go с внедрённым вредоносным кодом из модуля envchecker. Вредоносная программа собирала учётные данные разработчиков и облачных сервисов, конфигурационные файлы, SSH-ключи, учётные данные для инфраструктуры как код (IaC), а также локальные данные инструментов разработки и ИИ-ассистентов. Среди целевых ресурсов были данные VS Code, Cursor, Continue, Sourcegraph Cody, OpenCode, Hermes и Claude; учётные данные AWS, Google Cloud и Azure; конфигурации Docker, Kubernetes, NPM, DigitalOcean, Terraform и .netrc; глобальные настройки Git.
При каждом запуске создавался временный каталог с именем, начинающимся с префикса envchecker-. В него копировались файлы и данные учётных записей, полученные с помощью локальных команд. Каталог и его содержимое оставались на диске и потенциально могли служить криминалистическим индикатором утечки. Затем вредоносная программа архивировала собранные данные и передавала их через запросы Solana RPC, используя случайно выбранные конечные точки.
Компрометацию связали с учётной записью разработчика, использованной для подмены релизных бинарных файлов. По данным расследователей, вероятно, эта учётная запись была скомпрометирована за несколько месяцев до инцидента. Перед этим разработчик установил на личный MacBook расширение color-picker-universal версии 2.8.91. Расширение было связано с кошельком Solana, привязанным к злоумышленнику Glassworm. Оно установило постоянный сервис Node.js через plist macOS и взаимодействовало с внешним IP-адресом.
Пользователям рекомендовали не запускать затронутые бинарные файлы и сравнить их MD5-хэши с опубликованными индикаторами.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
