Хешем единым
Хешем единым 19 октября в официальном репозитории гитхаба CLI OVHcloud полтора часа раздавался стилер. Но самое неприятное в этой истории не то, что хакер подменил бинарники, а то, что заметил это не вендор, а клиент. Атакующий получил доступ к GitHub-аккаунту разработчика OVHcloud под ником HassenBF и заменил архивы в уже опубликованных релизах (с v0.11.0 по v0.15.0). Новых версий не выпускал, теги не трогал. Просто взял и перезаписал файлы поверх старых, обновив заодно checksums.txt, чтобы хеши на странице релиза выглядели легитимно. Окно, в которое стилер мог разлететься по машинам разработчиков и админов, — с 15:47 до 17:21 по МСК, то есть примерно полтора часа. А клиент OVHcloud заметил проблему только потому, что его CI сверял SHA-256 скачанного архива с закрепленным в пайплайне хешем. Хеш не совпал, сборка упала, клиент пошел на GitHub и открыл issue #300. OVHcloud среагировала быстро. Файлы удалили, а позже выпустили чистую версию v0.16.0 с включенной иммутабельностью релизов. CEO компании Октав Клаба подтвердил инцидент в X и заявил, что других затронутых репозиториев нет. Сам бинарник был «грязной» локальной сборкой. Судя по метаданным, его собрали вручную из более позднего коммита с незакоммиченными правками. Клаба оценил качество поделки как «бедную», но признал, что для кражи секретов с диска этого хватило. Исследователи из OpenSourceMalware обратили внимание, что тот же аккаунт HassenBF фигурировал в подозрительной активности еще в марте 2026 года. В личных репозиториях разработчика переписывали историю коммитов и добавляли скрытые загрузчики, характерные для GlassWorm. Впрочем, атрибуцию именно этой атаки пока нельзя считать доказанной. Пока OVHcloud готовит подробный постмортем, открытым остается главный вопрос. Как аккаунт разработчика попал в руки атакующего и что с ним происходило полгода. Ответ на него будет важнее, чем список затронутых версий. 🔤🔤Конечно, OVHcloud из России была полностью вычищена. Еще в 2022 году компания прекратила обслуживание аккаунтов с российскими адресами. Но вот VPN-сервисы, которыми вы, возможно, пользуетесь, от провайдера не отказывались. Что в свою очередь привлекло дополнительное внимание со стороны РКН. А если еще вспомнить, что GlassWorm некоторые специалисты связывали с Россией, то VPN-сервсам насторожиться стоит вдвойне. @antiinfosec