Un attacco alla supply chain ha compromesso un repository GitHub di OVHcloud, permettendo l'iniezione di codice malevolo in uno strumento open source. Le indagini collegano l'incidente al gruppo di minaccia GlassWorm.
Il noto provider di servizi cloud OVHcloud ha recentemente reso noto un incidente di sicurezza che ha interessato uno dei suoi repository ospitati su GitHub. Attraverso un account sviluppatore compromesso, attori malevoli sono riusciti a inserire codice dannoso in una versione dello strumento open source ovhcloud-cli, un'interfaccia a riga di comando utilizzata per interagire con i servizi dell'azienda.
L'attacco, secondo quanto riportato dal CEO di OVHcloud, Octave Klaba, è avvenuto tramite l'account GitHub di uno degli sviluppatori. L'attaccante ha sostituito le versioni legittime dello strumento con binary malevoli progettati per estrarre segreti dal disco degli utenti. Klaba ha esortato gli utenti che avessero scaricato la versione compromessa ad aggiornarla immediatamente o a rimuoverla.
La società ha specificato che le versioni malevole sono rimaste disponibili per un periodo limitato di circa un'ora e 33 minuti, venendo scaricate approssimativamente 250 volte. Nonostante la breve finestra temporale, l'impatto sulla supply chain è stato considerato potenzialmente significativo.
Le analisi successive condotte da ricercatori di sicurezza, in particolare Paul McCarty, hanno fatto emergere un legame tra questo attacco e il gruppo di minaccia noto come GlassWorm. Questo gruppo è tristemente noto per i suoi attacchi mirati alla supply chain del software, utilizzando tecniche di malware auto-propagante e botnet.
La connessione è stata stabilita attraverso un indirizzo di portafoglio Solana utilizzato in precedenti campagne attribuite a GlassWorm. Ulteriori indagini sull'account sviluppatore compromesso hanno rivelato che era stato violato da circa sette mesi. Sono state osservate modifiche sospette alla cronologia dei repository pubblici e l'iniezione di un loader JavaScript nascosto, che decodificava un payload secondario utilizzando un meccanismo di comunicazione tramite memo di transazioni Solana.
La tecnica utilizzata, nota come "amend-and-force-push", è coerente con le campagne precedenti di GlassWorm. In passato, il gruppo ha sfruttato vulnerabilità in piattaforme come Open VSX, un'alternativa open source al Visual Studio Marketplace di Microsoft, infettando numerosi pacchetti di estensioni.
Nel caso specifico di OVHcloud, la vulnerabilità principale sembra essere stata una errata configurazione del repository GitHub. Nello specifico, il repository non era impostato per garantire l'immutabilità delle release, permettendo quindi la modifica dei file dopo la loro pubblicazione. OVHcloud ha dichiarato di aver immediatamente corretto questa falla di configurazione e di aver applicato le stesse misure di sicurezza a tutti i propri repository.
È emerso anche che il developer il cui account è stato compromesso potrebbe essere stato inizialmente infettato tramite un'estensione malevola installata su un MacBook personale nell'ottobre 2025. Questa estensione utilizzava tecniche sofisticate, come l'occultamento di codice eseguibile in caratteri Unicode invisibili e il recupero di payload remoti tramite le transazioni Solana, comportamenti già documentati in precedenti ricerche su GlassWorm.
Sebbene l'impatto diretto sia stato limitato a un numero ristretto di download, la natura dell'attacco alla supply chain solleva preoccupazioni significative. La compromissione di un account di sviluppo e l'iniezione di codice malevolo in strumenti open source possono avere conseguenze a cascata su un vasto ecosistema di utenti e applicazioni.
OVHcloud ha sottolineato che la sua piattaforma principale di CI/CD per la produzione opera su un'istanza Git privata interna e non è stata influenzata dall'incidente. Tuttavia, l'azienda ha adottato misure correttive immediate, tra cui la correzione della configurazione del repository, la rimozione del codice malevolo e la scansione di tutti gli altri repository per escludere ulteriori compromissioni.
L'incidente evidenzia ancora una volta l'importanza della sicurezza della supply chain del software e la necessità di implementare rigorose pratiche di sicurezza, come l'autenticazione a più fattori, la revisione del codice e la garanzia dell'immutabilità delle release, per mitigare i rischi associati a questo tipo di minacce.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
