Un attacco supply chain ha compromesso il CLI di OVHcloud, diffondendo malware per rubare segreti. Nuove fonti confermano la durata dell'esposizione e collegano l'incidente a operazioni note.
Un incidente di sicurezza di tipo supply chain attack ha recentemente colpito OVHcloud, uno dei principali provider di servizi cloud europei. Attraverso il dirottamento di un account GitHub appartenente a un collaboratore, degli aggressori sono riusciti a sostituire gli archivi di download di diverse versioni preesistenti dello strumento a riga di comando (CLI) di OVHcloud. L'obiettivo era diffondere una versione malevola del tool, progettata per esfiltrare segreti memorizzati sui dischi dei computer che la eseguivano.
Le nuove informazioni provenienti da fonti come BleepingComputer e dalla community di threat intelligence OpenSourceMalware forniscono un quadro più dettagliato dell'incidente. L'attacco è avvenuto il 19 ottobre, con i file malevoli resi disponibili su GitHub per un periodo di circa 94 minuti, precisamente dalle 12:47 alle 14:21 UTC, come originariamente comunicato. Tuttavia, una fonte indica un orario di comparsa del rilascio compromesso alle 14:47 e un rilevamento alle 16:21 dello stesso giorno, suggerendo una finestra di esposizione potenzialmente più ampia o un diverso fuso orario di riferimento per il rilevamento.
Secondo quanto confermato, le versioni del CLI interessate dall'attacco vanno dalla v0.11.0 alla v0.15.0. La versione v0.10.0 è stata confermata come pulita, così come la v0.16.0, rilasciata successivamente all'incidente.
È emerso che l'account GitHub compromesso era sotto il controllo degli aggressori da oltre sei mesi. Questo ha permesso loro di modificare le release esistenti, sfruttando il fatto che la funzionalità di immutabilità delle release di GitHub era stata disabilitata. Ciò ha consentito agli attaccanti di bypassare i normali controlli di sicurezza delle pipeline CI/CD (Continuous Integration/Continuous Deployment), che sono rimaste invece intatte e non sono state compromesse.
Gli aggressori hanno caricato pacchetti malevoli creati localmente, non attraverso le pipeline di build automatizzate. La qualità del malware è stata descritta come "povera" da Octave Klaba, CEO di OVHcloud, ma la sua capacità di accedere ai dati sensibili del disco è stata confermata.
Le versioni del CLI interessate dall'attacco sono state la v0.11.0, v0.12.0, v0.13.0, v0.14.0 e v0.15.0. L'attaccante ha modificato i file di rilascio per macOS (Intel e ARM), Linux (x86_64 e ARM64) e Windows (x86_64), inclusi i file checksums.txt per far corrispondere gli hash ai nuovi binari. Le build per altre architetture (come Linux i386, Windows i386, Windows arm64) e le immagini Docker non sono state toccate. Le build Docker, in particolare, erano state aggiornate diverse settimane prima dell'attacco, rendendole sicure.
Gli utenti che hanno scaricato o installato il CLI durante la finestra temporale specificata potrebbero essere stati esposti se hanno utilizzato:
curl -fsSL https://raw.githubusercontent.com/ovh/ovhcloud-cli/main/install.sh | sh), che non verificava gli hash.Al contrario, non sono stati esposti gli utenti che hanno utilizzato Homebrew per l'installazione (poiché il cask bloccava l'hash originale), che hanno installato tramite go install o compilato il codice sorgente, o che hanno utilizzato l'immagine Docker.
La community di threat intelligence OpenSourceMalware ha suggerito che questo attacco potrebbe far parte di una nuova operazione denominata GlassWorm. Questa operazione è nota per campagne attive dal tardo 2025, che hanno già colpito ecosistemi di sviluppo software come VSCode, OpenVSX, GitHub e npm.
I ricercatori hanno notato che l'account GitHub utilizzato nell'attacco mostrava una storia di riscrittura degli script il 5 marzo 2026 e includeva un loader nascosto preinstall.js che decodificava un secondo stadio utilizzando un "dead drop" di messaggi Solana. Sebbene il portafoglio associato sia un indicatore noto di GlassWorm, il payload malevolo specifico non è stato analizzato in dettaglio.
L'impatto di questo tipo di attacco è significativo. Anche se la qualità del malware è bassa, la sua capacità di esfiltrare segreti dal disco è una minaccia seria per sviluppatori e amministratori di sistema che potrebbero conservare credenziali sensibili, chiavi API o altri dati confidenziali sui loro sistemi.
Per verificare se il proprio sistema è stato interessato, è possibile utilizzare il comando go version -m <percorso_binario_cli> sul file binario del CLI. Questo comando legge le informazioni di build senza eseguire il codice. Indicatori di una versione malevola includono una riga module con una pseudo-versione come v0.15.1-0.20261013083505-5ead8ef9b43d+dirty, un commit registrato (5ead8ef) diverso da quello del tag ufficiale (760fd72 per la v0.15.0), e la presenza della riga -ldflags="-s -w", che OVHcloud non include nelle sue build legittime.
Octave Klaba, fondatore di OVHcloud, ha raccomandato agli utenti potenzialmente interessati di cambiare immediatamente tutti i segreti memorizzati sul disco. Questo include non solo le credenziali API di OVHcloud (solitamente conservate in ~/.ovh.conf o variabili d'ambiente), ma qualsiasi altro dato sensibile presente sul sistema. OVHcloud ha riabilitato la funzionalità di immutabilità delle release su GitHub e considera l'incidente risolto, ma l'invito alla cautela e alla pulizia del sistema rimane.
Questo incidente sottolinea ancora una volta i rischi intrinseci degli attacchi alla catena di approvvigionamento del software, dove la compromissione di un singolo componente o account può avere ripercussioni su un vasto numero di utenti finali, evidenziando la necessità di controlli di sicurezza rigorosi e di una vigilanza costante.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.