OVHcloud, de Franse cloud- en hostingaanbieder, waarschuwt gebruikers van zijn command-line-tool nadat aanvallers vijf bestaande releases op GitHub hadden vervangen door een besmette versie. Het ging om versies v0.11.0 tot en met v0.15.0; versie v0.10.0 en de nieuwe v0.16.0 zijn schoon.
Gekaapt account, bewust uitgeschakelde beveiliging
Aanvallers kaapten het GitHub-account van een externe contributor wiens bijdragen eerder waren samengevoegd in de documentatie van het project. Met dat account vervingen ze maandag 19 oktober, rond 14:47 uur UTC, de downloadarchieven van de vijf releases door een kwaadaardige build. Een klant van OVHcloud sloeg alarm, waarna het bedrijf de release rond 16:21 uur blokkeerde. Het venster waarin de besmette bestanden beschikbaar waren, duurde dus iets meer dan anderhalf uur.
Dat kon doordat GitHub’s instelling voor onveranderlijke releases, immutability, voor dit project uitstond. Daardoor kon een bevoegd account bestaande releases rechtstreeks overschrijven, zonder dat de CI/CD-pijplijn van OVHcloud daar iets van controleerde. Topman Octave Klaba benadrukt dat die pijplijn zelf niet is aangetast: de aanvaller plaatste een los, lokaal gebouwd pakket in plaats van de buildketen te misbruiken. OVHcloud heeft de immutability-instelling inmiddels aangezet en beschouwt het incident als afgesloten.
Link met langlopende GlassWorm-campagne
Beveiligingsonderzoekers van OpenSourceMalware koppelen de aanval aan de bredere GlassWorm-campagne. Volgens hen was het gekaapte GitHub-account al sinds begin maart gecompromitteerd: op 5 maart werd de geschiedenis van het account herschreven, waarna een verborgen preinstall.js-script werd toegevoegd. Dat script haalt bij installatie een tweede aanvalsfase op via een memo-veld in een Solana-transactie, een zogeheten dead drop. Het portemonnee-adres dat daarbij hoort, is al eerder gezien als indicator voor GlassWorm.
Klaba noemt de kwaliteit van de malware zelf wisselend, maar het doel is volgens hem duidelijk: geheimen van de schijf van elke machine waarop de besmette CLI draaide, buitmaken. Getroffen zijn de builds voor macOS, zowel met Intel- als met Apple Silicon-chips, Linux op x86_64 en ARM64, en Windows x86-64. Wie de broncode zelf compileert of de Docker-images van OVHcloud gebruikt, liep geen risico.
Voor ontwikkelaars die de OVHcloud CLI gebruiken is de vraag simpel: draaide uw systeem tussen maandagmiddag 14:47 en 16:21 uur UTC, oftewel 16:47 tot 18:21 uur Nederlandse tijd, een update of nieuwe installatie via het install-script of een handmatige download van versie 0.11.0 tot en met 0.15.0? Zo ja, ga er dan van uit dat alle secrets op die machine gecompromitteerd zijn: OVHcloud-API-inloggegevens uit het bestand .ovh.conf of uit omgevingsvariabelen, SSH-sleutels, tokens voor andere cloud- of package-diensten, en kubeconfig- of .env-bestanden. Installeer eerst een schone versie, 0.10.0 of 0.16.0, en roteer daarna al die geheimen.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt u de OVHcloud CLI? Controleer of u maandag 19 oktober tussen 14:47 en 16:21 uur UTC (16:47-18:21 uur Nederlandse tijd) een update of installatie deed van versie 0.11.0 tot en met 0.15.0. Zo ja, ga uit van compromittering en roteer al uw API-sleutels, SSH-sleutels en tokens.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.