OVHcloud CLI'nin beş sürümü GitHub'da sır çalan zararlıyla değiştirildi

Saldırganlar bir katkıcının GitHub hesabını ele geçirerek OVHcloud CLI'nin mevcut beş sürümüne ait indirme dosyalarını, geliştiricilerin makinelerindeki sırları çalmak için tasarlanmış bir sürümle değiştirdi. BleepingComputer ve The Hacker News'ün aktardığına göre Fransız bulut sağlayıcısının altyapı yönetiminde kullanılan komut satırı aracı, 19 Ekim'de yaklaşık bir buçuk saat boyunca zararlı hâliyle dağıtıldı ve bir müşterinin derleme hattı değişikliği yakaladı.

Neler oldu?

The Hacker News'e göre saldırgan, Nisan–Eylül 2026 arasında yayımlanan v0.11.0–v0.15.0 sürümlerine ekli arşivleri 12.47 ile 14.21 (UTC) arasında değiştirdi. Her sürümde macOS x86_64 ve arm64, Linux x86_64 ve arm64 ile Windows x86_64 arşivleri ve yayımlanan özetlerin zararlı dosyalarla eşleşmesi için checksums.txt dosyası değiştirildi. Linux i386, Windows i386 ve arm64 ile WebAssembly derlemelerine dokunulmadı.

Değişikliği, CI işinde Linux arm64 arşivinin SHA-256 özetini sabitleyen bir müşteri fark etti. İş hata vermeye başlayınca müşteri herkese açık bir GitHub kaydı açtı ve OVHcloud kısa süre sonra değiştirilen dosyaları sildi.

BleepingComputer'ın aktardığına göre OVHcloud'un kurucusu ve CEO'su Octave Klaba, kök nedenin GitHub'ın sürüm değişmezliği ayarının kapalı olması olduğunu söyledi; bu durum yeterli yetkiye sahip bir hesabın mevcut sürümleri CI/CD denetimlerinden geçmeden değiştirmesine imkân tanıdı. Klaba, testler ve CVE taraması dahil derleme hatlarının etkilenmediğini, değişmezlik ayarının artık açıldığını belirtti. Temiz v0.16.0 sürümü imzalı doğrulama kaydıyla değiştirilemez sürüm olarak yayımlandı; şirket ayrıntılı bir olay sonrası rapor sözü verdi.

Teknik detaylar

The Hacker News'e göre zararlı ikili dosya, derleme hattından değil, etiketlenmemiş daha yeni bir commit'in doğrudan go build ile derlenip sürümlere yüklenmesiyle oluşturuldu. Derleme meta verisinde 5ead8ef commit'i ve v0.15.1-0.20261013083505-5ead8ef9b43d+dirty sözde sürümü ile gerçek sürümlerde bulunmayan bir -ldflags="-s -w" satırı yer alıyor. Değiştirilen v0.15.0 Linux arm64 arşivinin SHA-256 özeti 3833daffcaaaab27e4e0e0833240ffcb1df8df648f4ec0bc4a75c176e28933cb.

OVHcloud, zararlının hangi dosyaları okuduğunu, verileri nereye gönderdiğini ve kaç kez indirildiğini açıklamadı; değiştirilen arşivlerden biri henüz kamuya açık biçimde incelenmedi. Araç OVHcloud API kimlik bilgilerini ~/.ovh.conf dosyasında tutuyor, ancak öneriler etkilenen diskteki tüm sırları kapsıyor.

Topluluk tabanlı tehdit istihbaratı platformu OpenSourceMalware, ele geçirilen hesabı daha önce VS Code, OpenVSX, GitHub ve npm'i hedef alan GlassWorm kampanyasıyla ilişkilendirdi. BleepingComputer, hesabın depolarında ikinci aşamayı bir Solana işlem notundan çeken gizli bir preinstall.js yükleyicisi bulunduğunu aktarıyor. The Hacker News ise ekim ayındaki ikili dosyanın kendisinin GlassWorm'a bağlanamadığını, bağlantının bir çıkarım olduğunu vurguluyor.

Kimler etkileniyor?

Yalnızca 19 Ekim'de 12.47–14.21 (UTC) arasında etkilenen arşivleri indirenler risk altında. The Hacker News'e göre Homebrew kullanıcıları sabitlenmiş özetler sayesinde korundu; go install, kaynaktan derleme ve Docker imajı etkilenmedi.

Ne yapmalı?

• Özet sabitlemeden arşiv indiren CI hatları dahil, bu aralıkta OVHcloud CLI kurup kurmadığınızı veya güncelleyip güncellemediğinizi kontrol edin.
• Olasılığı dışlayamıyorsanız makinedeki tüm kimlik bilgilerini, API anahtarlarını ve token'ları başka bir sistemden yenileyin.
• Etkilenen ikili dosyaları kaldırın, v0.16.0 kurun ve gh release verify-asset ile doğrulayın.
• 19 Ekim civarında derleme hatlarınızda görülen özet uyuşmazlığı hatalarını inceleyin.