Hackers Hijack Five OVHcloud CLI Releases to Distribute Secret-Stealing Malware

Compromission de la CLI OVHcloud par des fichiers malveillants

Le 19 octobre, des attaquants ont piraté le compte GitHub d’un contributeur pour remplacer les archives officielles de cinq versions de la CLI OVHcloud (v0.11.0 à v0.15.0). Les nouveaux fichiers contenaient un malware conçu pour exfiltrer les secrets stockés sur la machine des utilisateurs.

Points clés :

• Vecteur d’attaque : Remplacement direct des fichiers sur GitHub. L’absence d’activation de l’option « versions immuables » a permis aux attaquants de modifier les releases existantes.
• Période d’exposition : Le 19 octobre, entre 12:47 et 14:21 UTC.
• Cibles : Utilisateurs ayant téléchargé ou mis à jour la CLI (macOS, Linux x86_64/arm64, Windows x86_64) via le script d’installation ou les releases GitHub pendant cette fenêtre.
• Impact : Vol potentiel de secrets (fichiers ~/.ovh.conf, variables d’environnement, etc.).

Vulnérabilités :

• Absence d’immuabilité : Les versions GitHub n’étaient pas verrouillées, permettant une altération par un utilisateur disposant d’un accès en écriture.
• Défaut de vérification : Le script d’installation officiel et la commande de mise à jour interne de la CLI ne vérifiaient pas l’intégrité (hash) des fichiers téléchargés.

Recommandations :

• Rotation des secrets : Par mesure de précaution, considérez tous les secrets présents sur les machines ayant exécuté une version compromise comme compromis et effectuez une rotation immédiate (depuis une machine saine).
• Mise à jour : Supprimez les binaires compromis et installez la version sécurisée v0.16.0.
• Sécurisation : Utilisez des gestionnaires de paquets comme Homebrew qui vérifient les empreintes SHA-256 lors de l’installation, ou vérifiez manuellement l’intégrité des archives via gh release verify-asset.
• Bonnes pratiques : Pour les développeurs, activez systématiquement les « versions immuables » (Immutable Releases) sur vos dépôts GitHub.

Source