Hackers Hijack Five OVHcloud CLI Releases to Distribute Secret-Stealing Malware
The Hacker News · 20 oct, 10:21
Qué hacer: Rota todos los secretos del ordenador desde una máquina diferente y actualiza a OVHcloud CLI v0.16.0 o posterior verificando el hash con gh release verify-asset.
Un atacante secuestró una cuenta de colaborador en GitHub y reemplazó los archivos descargables de cinco versiones del CLI de OVHcloud con malware diseñado para robar secretos del disco. Los binarios maliciosos estuvieron disponibles durante 94 minutos el 19 de octubre y afectaron a usuarios que instalaron o actualizaron la herramienta durante esa ventana temporal en macOS, Linux y Windows. OVHcloud publicó una versión limpia (v0.16.0) inmutable y aconseja a los afectados rotar todas las claves y secretos almacenados en los equipos comprometidos.
Los archivos comprometidos fueron reemplazados en las versiones v0.11.0 a v0.15.0 publicadas entre abril y septiembre. El atacante también modificó el archivo checksums.txt para que los hashes publicados coincidieran con los binarios maliciosos. La ventana de exposición fue de 12:47 a 14:21 UTC, alcanzando únicamente a quienes descargaron desde la página de releases de GitHub, ejecutaron el script de instalación oficial, o usaron el comando de actualización del CLI sin verificación de hash. Usuarios con Homebrew, go install, Docker o instalaciones anteriores sin actualización no fueron afectados.
La herramienta mantiene credenciales de la API de OVHcloud en ~/.ovh.conf y puede leerlas desde variables de entorno. OVHcloud recomienda tratar todos los secretos legibles desde máquinas afectadas como expuestos y rotarlos desde un ordenador diferente. La investigación preliminar identificó el malware mediante análisis de versión de Go (pseudo-versión del 13 de octubre, flags -ldflags presentes y commit distinto al esperado), pero la empresa aún no ha revelado qué archivos específicos el binario malicioso exfiltraba ni cuántas copias se descargaron.
Puntos clave
- Versiones comprometidas: v0.11.0 a v0.15.0 (20 minutos de exposición el 19 de octubre)
- Plataformas afectadas: macOS x86_64 y arm64, Linux x86_64 y arm64, Windows x86_64
- Métodos no afectados: Homebrew (verificación de hash), go install, Docker, instalaciones previas sin actualización
- Acción inmediata: rotar todos los secretos del disco desde otra máquina antes de actualizar a v0.16.0
- SHA-256 malicioso v0.15.0 arm64: 3833daffcaaaab27e4e0e0833240ffcb1df8df648f4ec0bc4a75c176e28933cb