OVHcloud CLI به صورت پشتی در GitHub منتشر می شود تا اسرار توسعه دهندگان را بدزدد

OVHcloud، ارائه‌دهنده خدمات ابری و میزبانی فرانسوی، به کاربران هشدار می‌دهد که مهاجمان ابزار رابط خط فرمان منبع باز (CLI) آن را برای توزیع بدافزار سرقت اطلاعات به خطر انداخته‌اند.

مهاجم حساب GitHub یک توسعه دهنده را ربود تا به مخزن OVHcloud CLI دسترسی پیدا کند و نسخه های 0.11.0 تا 0.15.0 ابزار را اصلاح کند.

OVHcloud ابزار CLI را به عنوان جایگزینی برای مدیران سیستم و توسعه دهندگان ارائه می دهد تا خدمات ابری و میزبانی را مستقیما از ترمینال مدیریت کنند، از جمله برای خودکارسازی وظایف.

اکتاو کلابا، مدیر عامل OVHcloud فاش کرد که مخزن CLI این شرکت در GitHub به خطر افتاده است و از کاربرانی که دیروز آخرین نسخه را دانلود کرده‌اند، می‌خواهد این ابزار را به‌روزرسانی یا حذف کنند.

کلابا گفت که نسخه به خطر افتاده در ساعت 14:47 روز 19 اکتبر ظاهر شد و پس از گزارش مشتری در ساعت 16:21 شناسایی و مسدود شد.

مدیر عامل گفت: "نسخه های در معرض خطر v0.11.0 v0.12.0 v0.13.0 v0.14.0 v0.15.0 هستند." و افزود که نسخه قدیمی 0.10.0 و آخرین نسخه 0.16.0 تمیز هستند.

کلابا توضیح داد که علیرغم کیفیت پایین بدافزار، هدف آن "بازیابی اسرار از دیسک" بود.

در به‌روزرسانی بعدی، Klaba به اشتراک گذاشت که تنظیم تغییرناپذیری انتشار GitHub غیرفعال شده است و به یک حساب دارای امتیاز کافی اجازه می‌دهد تا نسخه‌های موجود را بدون گذراندن بررسی‌های CI/CD تغییر دهد.

"کل مجموعه خطوط لوله CI/CD با تست های واحد، تست های عملکردی، تشخیص CVE و غیره تحت تاثیر قرار نگرفت."

OVHcloud ویژگی تغییرناپذیری انتشار GitHub را فعال کرده است و این حادثه را حل شده می‌داند.

با این حال، Klaba از کاربرانی که یک بسته CLI به خطر افتاده را دانلود کرده‌اند می‌خواهد تا یک پاکسازی سیستم را انجام دهند و همه اسرار را لغو کنند.

"کیفیت باینری ضعیف است، اما می‌تواند تا انتها ادامه داشته باشد. اگر تحت تاثیر قرار گرفته‌اید، لطفا تمام اسرار روی دیسک خود را تغییر دهید."

طبق گفته OpenSourceMalware، یک پلتفرم اطلاعاتی تهدید مبتنی بر جامعه، این حمله احتمالا بخشی از یک عملیات جدید GlassWorm بوده است که از اواخر سال 2025 برای کمپین‌هایی شناخته شده است که بر اکوسیستم‌های توسعه نرم‌افزار VSCode، OpenVSX، GitHub و npm تأثیر گذاشته است.

محققان تأیید کردند که مهاجم خطوط لوله CI/CD را دستکاری نکرده و بسته‌های آلوده به بدافزار را که به صورت محلی ساخته شده‌اند آپلود نکرده است.

محققان خاطرنشان کردند که حساب GitHub مورد استفاده در این حمله بیش از نیم سال است که در معرض خطر قرار گرفته است.

محققان OpenSourceMalware دریافتند: "مخزن های عمومی آن یک بازنویسی تاریخچه اسکریپت شده در 5 مارس 2026 و یک بارگذار preinstall.js پنهان را نشان می دهد که با استفاده از یک دراپ مرده یادداشت Solana به مرحله دوم رمزگشایی می شود."

اگرچه کیف پول مرتبط یک نشانگر GlassWorm شناخته شده است، اما محققان بار مخرب ارسال شده از طریق نسخه تروجانی شده OVHcloud CLI را تجزیه و تحلیل نکردند.

طبق گزارش OpenSourceMalware، پلتفرم‌های تحت تأثیر macOS (اینتل و ARM)، لینوکس (x86_64 و ARM64) و Windows x86-64 هستند. ساخت منبع و تصاویر داکر بی‌تأثیر باقی ماندند.

هر کسی که یک باینری آسیب‌دیده را اجرا می‌کند، باید تمام اسرار موجود در دستگاه را به‌عنوان در معرض خطر قرار دهد.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

مخازن جعلی LastPass Authenticator GitHub، اطلاعات جدید Rapuncel را تحت فشار قرار می دهد.

هکرها سرورهای به روز رسانی AOMEI را ربودند تا مخفیانه بدافزار را منتشر کنند

بدافزار MacSync از تقویم های عمومی iCloud برای تحویل بارهای جدید استفاده می کند

بسته های مخرب npm از دفاع نصب اسکریپت در زمان اجرا فرار می کنند

پلاگین سئو وردپرس Rank Math به وب‌سایت‌های درپشتی آسیب می‌زند