إصدارات OVHcloud CLI من 0.11.0 إلى 0.15.0 ملغّمة عبر حساب GitHub مخترق

حذّرت OVHcloud مستخدميها من أن أداة سطر الأوامر مفتوحة المصدر التي توفرها لإدارة خدمات السحابة والاستضافة وأتمتة المهام جرى العبث بها لتوزيع برمجية خبيثة تسرق المعلومات. وبحسب الرئيس التنفيذي للشركة Octave Klaba، سيطر مهاجم على حساب GitHub لأحد المطورين، ووصل إلى مستودع الأداة، وعدّل الإصدارات من 0.11.0 إلى 0.15.0.

ما الذي حدث

ظهر الإصدار المخترق الساعة 14:47 يوم 19 أكتوبر، ورُصد وحُجب الساعة 16:21 بعد بلاغ من أحد العملاء. أما الإصدار 0.10.0 والإصدار الأحدث 0.16.0 فهما سليمان. ووصف Klaba البرمجية الخبيثة بأنها رديئة الصنع، لكن هدفها كان استخراج الأسرار من القرص.

وأوضحت الشركة لاحقاً أن إعداد عدم قابلية تعديل الإصدارات في GitHub كان معطلاً، ما سمح لحساب ذي صلاحيات كافية بتغيير إصدارات قائمة دون المرور بفحوص CI/CD. وتؤكد الشركة أن خطوط CI/CD، بما فيها الاختبارات وكشف الثغرات، لم تتأثر. وقد فعّلت الإعداد المذكور وتعدّ الحادثة منتهية.

السياق الأوسع

ترجّح OpenSourceMalware، وهي منصة مجتمعية لاستخبارات التهديدات، أن الهجوم جزء من عملية جديدة لمجموعة GlassWorm. وتقول إن خطوط CI/CD لم يُعبث بها وإن الحزم المصابة بُنيت محلياً، وإن حساب GitHub المستخدم كان مخترقاً منذ أكثر من ستة أشهر. ولم يحلل الباحثون الحمولة الخبيثة نفسها. والمنصات المتأثرة هي macOS (Intel وARM) وLinux (x86_64 وARM64) وWindows x86-64، ولم تتأثر البناءات من المصدر ولا صور Docker.

المطلوب

ينبغي للجهات التي تستخدم الأداة التحقق من الإصدار المثبت وتاريخ تثبيته. وعلى من شغّل ملفاً تنفيذياً متأثراً تنظيف النظام وإلغاء كل الأسرار المخزنة عليه، وفق توصية الشركة.