תוקף השתלט על חשבון של תורם בגיטהאב והחליף את קובצי ההורדה בחמש גרסאות קיימות של כלי שורת הפקודה של OVHcloud. הקבצים המוחלפים נועדו לגנוב סודות מהדיסק של המכונה שמריצה אותם. החלון היה קצר, אבל מי שנפגע צריך לפעול מיד.
הפרטים
לפי OVHcloud, הארכיבים הוחלפו ב-19 באוקטובר 2026 בין 12:47 ל-14:21 UTC, כלומר כ-94 דקות. מדובר בגרסאות v0.11.0 עד v0.15.0, ובכל אחת הוחלפו ארכיבי macOS, Linux ו-Windows x86_64 וקובץ checksums.txt, כך שבדיקת checksum מול הקובץ שבאותה גרסה לא הייתה תופסת את ההחלפה. קוד המקור, התגיות ותהליך הבנייה לא שונו. השורש לפי החברה: האפשרות להפוך גרסאות לבלתי ניתנות לשינוי (immutability) לא הייתה מופעלת.
ההחלפה התגלתה כשמשימת CI של לקוח, שננעלה על hash של ארכיב, נכשלה. חוקרים מ-OpenSourceMalware קושרים את החשבון לקמפיין GlassWorm, אך מציינים שזו הסקה שלהם. לא נשמר עותק של הקובץ, ולכן אין ניתוח ציבורי של הנוזקה, מה בדיוק היא קוראת או לאן היא שולחת.
נקודות לשים לב
- חשופים: סקריפט ההתקנה הרשמי, הורדה ישירה מדפי ה-releases, משימות CI בלי hash נעול, ופקודת השדרוג של הכלי ב-macOS/Linux בגרסאות v0.12.0 עד v0.14.0. לא חשופים: Homebrew,
go install, בנייה מהמקור והדימוי של Docker. - אם הרצת build מוחלף או שאינך יכול לדעת, התייחס לכל סוד שקריא מהמכונה כחשוף, ובכלל זה
~/.ovh.confומשתני סביבה. החלף אותם לפני העדכון, ועדיף ממכונה אחרת. - הסר את הבינארי ועבור ל-v0.16.0, גרסה בלתי ניתנת לשינוי עם attestation. אפשר לאמת אותה עם
gh release verify-asset. - אל תריץ בינארי חשוד כדי לבדוק אותו. השווה hash לערכים ש-OVHcloud פרסמה.
- הלקח הרחב: נעל hash של כל כלי שמורד ב-CI, והפעל immutability על ה-releases של הפרויקטים שלך.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
