OVHcloud waarschuwt voor backdoor in CLI-tool op GitHub, verspreid via gehackt account om geheimen van ontwikkelaars te stelen.
De Franse cloud- en hostingprovider OVHcloud heeft gebruikers gewaarschuwd dat aanvallers hun open-source command-line interface (CLI) tool hebben gecompromitteerd om malware te verspreiden die informatie steelt. De aanvaller wist toegang te krijgen tot het GitHub-account van een ontwikkelaar en wijzigde daarmee de versies 0.11.0 tot en met 0.15.0 van de OVHcloud CLI-tool.
De CLI-tool wordt door systeembeheerders en ontwikkelaars gebruikt om cloud- en hostingdiensten via de terminal te beheren en taken te automatiseren. OVHcloud CEO Octave Klaba meldde dat het GitHub-repository was gehackt en riep gebruikers die de nieuwste versie op 19 oktober hadden gedownload op om de tool te verwijderen of te updaten. De kwaadaardige release werd rond 14:47 uur gepubliceerd en na een melding van een klant om 16:21 uur ontdekt en geblokkeerd. Versies 0.11.0 tot en met 0.15.0 zijn geïnfecteerd, terwijl versie 0.10.0 en de recentere 0.16.0 schoon bleken.
Hoewel de malware van slechte kwaliteit was, was het doel om geheimen van de schijf te achterhalen, aldus Klaba. Later bleek dat de instelling voor release-onveranderlijkheid op GitHub was uitgeschakeld, waardoor een account met voldoende rechten bestaande releases kon aanpassen zonder CI/CD-controles te doorlopen. De CI/CD-pijplijnen met unit tests, functionele tests en CVE-detectie bleven onaangetast.
OVHcloud heeft de release-onveranderlijkheid nu ingeschakeld en beschouwt het incident als opgelost. Gebruikers die een geïnfecteerde CLI-versie hebben gebruikt, worden dringend geadviseerd hun systemen schoon te maken en alle opgeslagen geheimen in te trekken. Klaba benadrukte dat ondanks de slechte kwaliteit van de malware, het risico serieus is en dat getroffen gebruikers alle geheimen op hun systemen moeten wijzigen.
Volgens het community-gedreven threat intelligence platform OpenSourceMalware maakt deze aanval waarschijnlijk deel uit van een nieuwe operatie van de GlassWorm-groep, die sinds eind 2025 actief is en eerder al software-ecosystemen zoals VSCode, OpenVSX, GitHub en npm heeft getroffen. Onderzoekers bevestigden dat de aanvaller de CI/CD-pijplijnen niet heeft gemanipuleerd, maar geïnfecteerde pakketten lokaal heeft gebouwd en geüpload.
De gebruikte GitHub-account was al meer dan een half jaar gecompromitteerd. OpenSourceMalware ontdekte onder meer een herschreven geschiedenis en een verborgen preinstall.js loader die verwijst naar een tweede fase via een Solana memo dead drop. Hoewel de wallet die hierbij hoort een bekende GlassWorm-indicator is, is de malware zelf niet nader geanalyseerd. De getroffen platforms zijn macOS (Intel en ARM), Linux (x86_64 en ARM64) en Windows x86-64, terwijl source builds en Docker-images niet zijn aangetast. Gebruikers die een geïnfecteerde binary draaiden, moeten ervan uitgaan dat alle geheimen op hun machine zijn gecompromitteerd.
