Позже в отчёте Октав Клаба пояснил, что внутренние конвейеры CI/CD не пострадали, а пер...
Позже в отчёте Октав Клаба пояснил, что внутренние конвейеры CI/CD не пострадали, а перезаписать старые сборки напрямую через GitHub Releases удалось из-за отключённой настройки неизменяемости релизов (immutable releases). Как пишут на «Хабре» и в The Hacker News, атакующий подменил пять основных сборок для macOS (x86_64, arm64), Linux (x86_64, arm64) и Windows (x86_64), а также обновил файл контрольных сумм checksums.txt. Под удар попали те, кто в окне атаки ставил утилиту через официальный скрипт install.sh (не проверяющий хеши SHA-256), скачивал архивы вручную или вызывал команду ovhcloud upgrade, тогда как пакетный менеджер Homebrew со старыми зафиксированными хешами, установка из исходников через go install и Docker-образ ovhcom/ovhcloud-cli остались безопасными. Первым подмену заметил клиент alink-tothepast, у которого в CI упала проверка закреплённого хеша SHA-256 для Linux_arm64, после чего он проверил бинарный файл без запуска командой go version -m, обнаружил скомпилированную вручную псевдоверсию с флагом локальных правок +dirty и создал тикет #300 в GitHub Issues. При этом ИБ-исследователи OpenSourceMalware установили, что использованный для атаки аккаунт HassenBF был взломан ещё в марте 2026 года в ходе кампании GlassWorm, когда в его личные проекты внедрили обфусцированный невидимыми символами Юникода загрузчик с проверкой русской локали (ru_RU, Europe/Moscow) и получением адресов C2-серверов из транзакций блокчейна Solana. Вечером 19 октября в 20:16 мск провайдер включил защиту неизменяемости релизов и выпустил чистую версию v0.16.0 с криптографической аттестацией (версия v0.10.0 также чиста). Компания призвала всех пользователей, скачивавших CLI в период с 15:47 до 17:21 мск, немедленно сменить все сохранённые на диске секреты (а аналитики OpenSourceMalware и автор разбора на «Хабре» рекомендовали перевыпустить ключи в ~/.ovh.conf, SSH-ключи, ~/.kube/config, .env и облачные токены с другого, заведомо чистого устройства). Несмотря на официальное заявление главы OVHcloud о завершении расследования, компания так и не опубликовала образец вредоносного файла и не раскрыла вектор компрометации аккаунта разработчика, точный перечень похищаемых троянцем-стилером данных и число скачанных вредоносных копий. ✋ @Russian_OSINT