Przebieg ataku na repozytorium OVHcloud CLI
Francuski dostawca usług w chmurze i hostingu informuje o incydencie bezpieczeństwa, w ramach którego naruszono repozytorium projektu open-source na platformie GitHub. Atakujący przejęli konto dewelopera, co pozwoliło im na zmodyfikowanie istniejących wersji narzędzia przeznaczonego do zarządzania usługami z poziomu terminala. Według informacji przekazanych przez prezesa firmy Octave Klabę, problem dotyczy wydań od wersji v0.11.0 do v0.15.0.
Skompromitowane pliki pojawiły się w systemie o godzinie 14:47, a reakcja i blokada nastąpiły o godzinie 16:21 tego samego dnia po zgłoszeniu od klienta. Starsza wersja 0.10.0 oraz najnowsza 0.16.0 pozostały bezpieczne. Platforma OpenSourceMalware powiązała ten incydent z operacją przypisywaną grupie GlassWorm, wskazując, że przejęte konto dewelopera pozostawało w rękach osób trzecich przez ponad pół roku.
Skala zagrożenia i działania zaradcze
Złośliwe pliki przygotowano lokalnie, a atakujący ominęli procedury testowe, ponieważ wyłączone było ustawienie niezmienności wydań na GitHubie. Umożliwiło to modyfikację gotowych paczek z pominięciem etapów budowania i weryfikacji. Problem dotyczy systemów macOS na procesorach Intel oraz ARM, systemów Linux w wersjach x86_64 i ARM64 oraz Windows x86-64. Kod źródłowy oraz oficjalne obrazy Docker nie zostały naruszone.
Mimo niskiej jakości samego oprogramowania szkodliwego, jego głównym zadaniem jest pozyskiwanie poufnych danych z dysku komputera. Osoby, które uruchomiły zainfekowane pliki binarne, powinny przeprowadzić czyszczenie systemu oraz unieważnić wszystkie sekrety znajdujące się na maszynie. Firma włączyła funkcję niezmienności wydania na GitHubie i uznaje sprawę za zamkniętą.