Пять релизов инструмента OVHcloud CLI оказались заражены вредоносным кодом после захвата аккаунта разработчика на GitHub. Компрометация OVHcloud CLI длилась менее двух часов, но для тех, кто успел запустить бинарники, риск вполне приземлённый: злоумышленники пытались собрать секреты, лежащие на рабочей машине — от токенов до ключей доступа.
Французский облачный и хостинг-провайдер OVHcloud сообщил, что затронуты версии CLI с 0.11.0 по 0.15.0. По данным BleepingComputer, вредоносные релизы появились 19 октября в 14:47, а в 16:21 их заблокировали после сообщения клиента. Чистыми компания называет прежнюю версию 0.10.0 и актуальную 0.16.0.
CLI-инструмент OVHcloud используют системные администраторы и разработчики, которым удобнее управлять облачными и хостинговыми сервисами из терминала: создавать ресурсы, менять настройки, встраивать операции в скрипты и пайплайны автоматизации. Именно поэтому инцидент опаснее банальной подмены утилиты для конечных пользователей. На таких машинах нередко лежат облачные API-ключи, SSH-ключи, переменные окружения, учётные данные для CI/CD и токены сторонних сервисов.
Гендиректор OVHcloud Октав Клаба уточнил, что атакующие получили доступ к репозиторию через скомпрометированную учётную запись разработчика. Вредоносный код, по его словам, был сделан не слишком качественно, но его назначение было очевидным — извлекать секреты с диска. Низкое качество импланта не должно успокаивать: даже один рабочий токен с широкими правами может открыть путь к инфраструктуре, репозиториям или данным клиентов.
Ключевой технический нюанс инцидента — в настройках GitHub. Для репозитория была отключена неизменяемость релизов: аккаунт с достаточными правами мог менять уже опубликованные артефакты, не проходя заново через штатные CI/CD-проверки. Сами пайплайны, включая модульные и функциональные тесты, а также проверки уязвимостей, по данным компании, затронуты не были. Заражённые пакеты, вероятно, собирались локально и затем загружались в релизы напрямую.
После обнаружения атаки OVHcloud включила защиту от изменения опубликованных релизов и считает инцидент локализованным. Однако для пользователей это не история про простое обновление клиента. Компания советует удалить или заменить подозрительный бинарник и отозвать все секреты, которые могли находиться на компьютере в момент запуска. Практически это означает ротацию токенов OVHcloud, ключей доступа к облакам и реестрам, SSH-ключей, ключей API, учётных данных сервисов автоматизации и секретов, доступных через переменные окружения.
Исследователи из сообщества OpenSourceMalware связывают атаку с новой активностью GlassWorm — кампанией, которую с конца 2025 года наблюдали в экосистемах VSCode, OpenVSX, GitHub и npm. Они утверждают, что использованная в атаке GitHub-учётная запись была захвачена более полугода назад. В публичной истории её репозиториев исследователи нашли признаки переписывания истории в марте 2026 года и скрытый загрузчик, который обращался за следующим этапом через механизм Solana memo dead drop. Сам полезный вредоносный код из троянизированного OVHcloud CLI они не анализировали, поэтому приписывать ему более широкие возможности, чем кражу секретов, пока рано.
Затронутыми названы сборки для macOS на Intel и Apple Silicon, Linux x86_64 и ARM64, а также Windows x86-64. Исходный код и Docker-образы, согласно данным OpenSourceMalware, не пострадали. Для команд это важное различие: пересборка из проверенного исходника не равна запуску готового бинарника, скачанного из скомпрометированного релиза. Впрочем, доверять публикации релизов без подписи, проверяемых контрольных сумм и ограничений на изменение артефактов становится всё менее рационально.
Компрометация OVHcloud CLI хорошо показывает старую проблему цепочки поставки в новом, очень неудобном виде: защищённый код и исправный CI/CD не спасают, если атакующий может подложить файл в последнем метре доставки. Следующий вопрос для open-source-команд — не только кто имеет права на релизы, но и могут ли пользователи независимо проверить происхождение каждого бинарника. Детали инцидента и комментарии руководителя OVHcloud опубликованы в материале .
