إصدارات OVHcloud CLI تعرضت للاختراق بملفات خبيثة على GitHub

في 19 أكتوبر، اخترق مهاجم حساب أحد المساهمين على GitHub واستبدل أرشيفات التنزيل لخمسة إصدارات من أداة سطر الأوامر الخاصة بـ OVHcloud. وفقًا لمزود الخدمة السحابية، احتوت الملفات الجديدة على برمجيات خبيثة تهدف إلى سرقة الأسرار المخزنة على أي جهاز ينفذها.

بقيت الملفات الخبيثة متاحة على GitHub لمدة 94 دقيقة، من الساعة 12:47 إلى 14:21 بالتوقيت العالمي المنسق، مما أثر على المستخدمين الذين ثبّتوا أو حدّثوا OVHcloud CLI خلال تلك الفترة. تمكنت البرمجيات الخبيثة من تجاوز فحوصات التجزئة على منصات macOS وLinux x86_64 أو arm64 وWindows x86_64.

ردًا على ذلك، أزالت OVHcloud الأرشيفات المخترقة وأصدرت نسخة نظيفة، v0.16.0، في ذلك المساء. هذا الإصدار الجديد غير قابل للتغيير، مما يعني أن ملفاته لا يمكن تعديلها. ظل الكود المصدري وخط بناء الإصدار سليمين، إذ كان البناء الخبيث مجرد commit لاحق تم رفعه إلى الإصدارات الموجودة من أبريل إلى سبتمبر.

تفاصيل الاختراق

في الإصدار v0.15.0، استبدل المهاجم ستة ملفات: أرشيفات macOS x86_64 وarm64، وأرشيفات Linux x86_64 وarm64، وأرشيف Windows x86_64، وملف checksums.txt. ضمنت هذه التغييرات تطابق التجزئات المنشورة مع الملفات الثنائية الجديدة. كما أُزيلت الملفات الستة نفسها من الإصدارات v0.11.0 إلى v0.14.0، بينما بقيت عمليات بناء أخرى دون تأثير.

حددت OVHcloud الإصدارات من v0.11.0 إلى v0.15.0 على أنها مخترقة، بينما اعتبرت v0.10.0 آمنًا. لا يزال المستخدمون الذين ثبّتوا هذه الإصدارات قبل الهجوم ولم يحدّثوها بعد يستخدمون الملفات الأصلية غير المعدلة.

تحديد المستخدمين المتأثرين

يشمل المستخدمون الذين ربما نزّلوا الملفات المخترقة أولئك الذين:

• شغّلوا سكربت التثبيت الرسمي الذي ينزّل أحدث أرشيف إصدار دون التحقق من التجزئة.
• نزّلوا أرشيفًا مباشرة من صفحة إصدار GitHub لأي من الإصدارات الخمسة المتأثرة.
• نفّذوا مهمة CI أو خطوة بناء جلبت الأرشيف دون تجزئة مثبتة.
• استخدموا أمر الترقية في CLI من إصدار سابق ثُبّت دون التحقق من التجزئة.

في المقابل، لم يتأثر المستخدمون الذين ثبّتوا عبر Homebrew، أو بنوا من المصدر، أو سحبوا صورة Docker. خلال الهجوم، ثبّت cask الخاص بـ Homebrew قيمة SHA-256 الأصلية لكل أرشيف، مما منع تثبيت الملفات المخترقة.

كيفية التحقق والاستجابة

اكتشف أحد العملاء عملية الاستبدال من خلال استخراج معلومات البناء من الملف الثنائي الجديد v0.15.0 Linux arm64. تضمنت المؤشرات الرئيسية للبناء الخبيث سلسلة إصدار زائفة، وcommit مسجل مختلف، ووجود علامة بناء محددة.

نصح مؤسس OVHcloud، Octave Klaba، المستخدمين المتأثرين بتغيير جميع الأسرار المخزنة على أجهزتهم. يخزن CLI بيانات اعتماد OVHcloud API في ~/.ovh.conf ويقرأها من متغيرات البيئة. يُحث المستخدمون على:

• تدوير كل سر ربما تعرض للكشف.
• إزالة الملف الثنائي المخترق وتثبيت الإصدار النظيف v0.16.0.
• التحقق من الأرشيفات المنزلة مقابل الإصدار باستخدام أدوات التحقق من GitHub.

لم تكشف OVHcloud عن الملفات التي وصل إليها الملف الثنائي المخترق أو عدد المستخدمين الذين نزّلوه. يُتوقع نشر تحليل مفصل للحادثة في الأيام المقبلة.

كيف وقع الهجوم

يمكن لأي شخص لديه صلاحية الكتابة على مستودع GitHub أن يستبدل الملفات المرفقة بإصدار ما. يبقى رابط التنزيل دون تغيير ما لم يتم تفعيل خاصية عدم قابلية تغيير الإصدار، وهو ما لم تفعله OVHcloud. أشار Klaba إلى أن غياب هذا الإعداد سمح للمهاجم بتعديل الإصدارات الموجودة مباشرة.

كان الحساب المخترق مملوكًا لمساهم تم تضمين عمله في مستودع وثائق OVHcloud. لم يعمل سير عمل الإصدار أثناء الهجوم، ولم تجد الفحوصات الأولية أي مستودعات أخرى متأثرة. لا تزال طريقة الحصول على بيانات اعتماد الحساب غير واضحة.

اكتشفت مهمة CI لأحد العملاء عملية الاستبدال عندما بدأت تفشل بسبب تثبيت SHA-256. أبلغ المستخدم عن المشكلة علنًا، مما دفع OVHcloud إلى إزالة الملفات المخترقة بعد ذلك بوقت قصير. نُشر الإصدار النظيف v0.16.0 في وقت لاحق من ذلك اليوم.

الصلة بحملات برمجيات خبيثة سابقة

ربط OpenSourceMalware الحساب المخترق بحملة البرمجيات الخبيثة GlassWorm، التي تستخدم كودًا مخفيًا في أحرف Unicode. أشار الباحثون إلى أن الحساب كان متورطًا سابقًا في أنشطة خبيثة مماثلة، لكن لم يُثبت أي اتصال مباشر بالملف الثنائي الخاص بأكتوبر.

المصدر: The Hacker News