OVHcloud: CLI com Malware Ficou Ativa por 94 Minutos

Cinco versões da ferramenta foram trocadas entre 12h47 e 14h21 UTC; OVHcloud recomenda trocar todos os segredos em disco

Na segunda-feira, 19 de outubro, os arquivos de download de cinco releases da OVHcloud CLI foram substituídos por versões contendo um malware que extrai credenciais e segredos armazenados em disco. De acordo com o The Hacker News, os bins maliciosos ficaram disponíveis no GitHub por até 94 minutos, entre 12h47 e 14h21 UTC, afetando máquinas macOS, Linux (x86_64 e arm64) e Windows x86_64.

Como o ataque funcionou

O invasor se serviu da conta de um contribuidor do repositório — alguém com permissão de escrita — para trocar os compilados de seis plataformas nas versões v0.11.0 a v0.15.0, todas publicadas entre 14 de abril e 16 de setembro de 2026. O arquivo checksums.txt também foi substituído, de modo que os hashes publicados corresponderam aos novos arquivos e a inconsistência ficasse oculta.

O malware tinha como objetivo capturar segredos guardados em disco em qualquer máquina que o executasse. Isso inclui as credenciais da OVHcloud API, armazenadas em ~/.ovh.conf, e variáveis de ambiente que podem conter tokens sensíveis. A empresa não divulgou quais arquivos o binário lê, para onde os dados são enviados nem quantas cópias foram baixadas em total.

Detecção e resposta

Um job de CI de um cliente corporativo fixava o hash SHA-256 do arquivo Linux arm64 e começou a falhar assim que a versão foi trocada. Como o repositório não dispunha de canal privado de reporte, o usuário abriu um issue público às 13h50 UTC. Cerca de meia hora depois, às 14h21 UTC, a OVHcloud removeu os arquivos substituídos e publicou a v0.16.0 limpa, como release imutável com tag assinada. O pipeline de build interno não foi comprometido.

A raiz do problema, segundo a empresa, foi a ausência da opção de imutabilidade de releases no GitHub — recurso disponível desde outubro de 2025 que trava os arquivos de uma release contra alterações por terceiros. A OVHcloud ativou a opção e informou que as pipelines de CI/CD não foram afetadas.

Pesquisadores do OpenSourceMalware relacionam a conta comprometida com a campanha GlassWorm, que em março de 2026 forçou pushes maliciosos em centenas de repositórios Python usando tokens de GitHub roubados. Quatro repositórios pessoais vinculados à mesma conta tiveram commits alterados com a adição de um loader de malware em 5 e 6 de março. Os pesquisadores deixam claro que a ligação com o incidente de outubro é uma inferência — nenhuma cópia do binário de outubro foi preservada para análise forense.

Octave Klaba, fundador da OVHcloud, publicou na noite de segunda-feira no X que qualquer pessoa afetada deve trocar todos os segredos armazenados em disco, não apenas os arquivos da CLI. A empresa prometeu um postmortem detalhado nos dias seguintes.

Fonte: The Hacker News