В готовые пакеты OVHcloud CLI подложили вредоносный код для кражи секретов

19 октября злоумышленник подменил готовые файлы нескольких выпусков OVHcloud CLI на GitHub. По исследованию OpenSourceMalware, использовалась захваченная учётная запись участника проекта, а атака была направлена на секреты, хранящиеся на компьютерах разработчиков и администраторов.

Что оказалось подменено

В разборе перечислены версии 0.11.0–0.15.0 и готовые сборки для распространённых вариантов macOS, Linux и Windows. Важная деталь: исследователи описывают замену файлов релизов без изменения исходного репозитория и запуска штатной сборочной цепочки. Поэтому просмотр исходников сам по себе не позволял проверить скачанный исполняемый файл.

Одного удаления программы мало

Если подозрительный пакет уже запускался, стоит рассматривать доступные ему секреты как потенциально скомпрометированные. Практический ответ — установить происхождение сборки, изолировать затронутую машину по правилам организации и отозвать соответствующие токены и ключи с доверенного устройства. Простая переустановка утилиты не аннулирует уже похищенные данные доступа.

Что известно о расследовании

OVHcloud удалила подменённые файлы и выпустила чистую неизменяемую версию 0.16.0. Исследователи связывают захваченную учётную запись с признаками GlassWorm, но прямо отмечают ограничения атрибуции и отсутствие собственного анализа удалённой вредоносной нагрузки. Для команд это повод проверять происхождение бинарных файлов, права выпуска релизов и независимые подтверждения целостности.

По материалам: OpenSourceMalware, разбор @6mile. Самостоятельный пересказ BrookStone.