19 октября 2026 года злоумышленник подменил сборки OVHcloud CLI в пяти уже опубликованных версиях. CLI служит интерфейсом командной строки для управления сервисами компании. Речь идёт о релизах с v0.11.0 по v0.15.0. Он выкладывал вредоносные файлы с 12:47 до 13:12 по UTC через обычный интерфейс GitHub Releases. Замену проводили около 25 минут. Метка версии не обновлялась, конвейер сборки не запускался. Вредоносная версия появилась из ручной сборки на рабочей станции с изменениями, которые не попали в репозиторий. Заражённые архивы для macOS, Linux и Windows оставались доступны 94 минуты. Их заметил сторонний проект, который сверял контрольную сумму в своём конвейере. После этого OVHcloud удалила файлы и выпустила чистую версию v0.16.0.
Описание
Позже OVHcloud сообщила, что удалила подменённые файлы в 14:21 по UTC. Чистую сборку v0.16.0 опубликовали примерно через три часа. Её выпустил служебный аккаунт, а не человек. Сборка имеет защиту от изменений и подтверждение происхождения. При этом исходный репозиторий не пострадал. Тот, кто ставил CLI из исходного кода или через официальный образ контейнера, вредоносную сборку не получал.
Подмена затронула только основные платформы. Злоумышленник заменил сборки для macOS, Linux x86_64, Linux arm64 и Windows x86_64, а также файл с контрольными суммами. Однако сборки для i386, Windows arm64 и WebAssembly остались прежними. Не тронутыми остались платформы, которые почти не используют в корпоративной среде. Такой выбор показывает цель: рабочие станции разработчиков и администраторов, где хранятся ключи и токены. Вредоносная программа искала секреты на диске. Атакующий менял файлы по одному, а контрольные суммы обновлял последними. По словам основателя OVHcloud Октава Клабы, качество кода было средним, но работоспособным.
Следы ведут к взломанной учётной записи внешнего участника проекта. Она имела право загружать файлы в релизы, хотя не входила в публичный состав организации OVHcloud. Аккаунт скомпрометировали как минимум за семь месяцев до атаки. Пятого марта 2026 года в четырёх личных репозиториях участника переписали историю и добавили скрытый загрузчик. Он прятал код в невидимых символах и получал ссылку на следующую стадию через публичную запись в блокчейне Solana. Такой приём позволяет менять вредоносный код без правки репозиториев. Связь между мартовским взломом аккаунта и октябрьской подменой сборок авторы разбора называют выводом, а не доказанным фактом.
Пострадали пользователи, которые устанавливали или обновляли CLI с 12:47 до 14:21 по UTC. Риск касался macOS, Linux x86_64, Linux arm64 и Windows x86_64. Например, установка через скрипт с GitHub, через Homebrew или из архива на странице релиза вела к заражённой сборке. То же касалось конвейеров, которые забирали архив по прямой ссылке. Установка из исходного кода, через go install или из официального контейнера OVHcloud оставалась безопасной. Проверить подозрительный файл можно командой go version -m. У чистой версии нет пометки о локальных изменениях. У вредоносной сборки был такой признак, а номер версии не совпадал с меткой версии.
Тем, кто запускал заражённый файл, нужно считать раскрытыми все секреты, доступные с машины. В список входят ключи OVHcloud, облачные учётные данные, SSH-ключи, токены пакетных менеджеров и файлы конфигурации Kubernetes. Поэтому менять пароли и токены лучше с другого устройства. После этого стоит удалить вредоносную сборку и поставить v0.16.0 или более новую версию. Кроме того, компаниям полезно закрепить проверку контрольных сумм в конвейерах и принимать только сборки с подтверждением происхождения. OVHcloud заявила, что первая проверка не выявила других пострадавших репозиториев. Разбор атаки компания обещала опубликовать в ближайшие дни.
Индикаторы компрометации
