اختراق أداة OVHcloud CLI لتوزيع برمجيات خبيثة

أصدرت OVHcloud، مزوّد خدمات السحابة والاستضافة الفرنسي، تحذيراً بشأن تعرّض أداة سطر الأوامر (CLI) مفتوحة المصدر الخاصة بها للاختراق، إذ عُدّلت لتوزيع برمجيات خبيثة تسرق المعلومات.

وتمكّن المهاجمون من الوصول إلى مستودع OVHcloud CLI عبر الاستيلاء على حساب أحد المطورين على GitHub، ما أتاح لهم تعديل الإصدارات من 0.11.0 إلى 0.15.0 من الأداة.

صُمّمت أداة OVHcloud CLI لتمكين مسؤولي الأنظمة والمطورين من إدارة خدمات السحابة والاستضافة مباشرة من الطرفية (terminal)، وتسهيل أتمتة المهام.

وكشف Octave Klaba، الرئيس التنفيذي لـ OVHcloud، في بيان، أن المستودع المخترق رُصد بعد أن أبلغ أحد العملاء عن المشكلة. وحُدّد الإصدار الخبيث عند الساعة 14:47 من يوم 19 أكتوبر، وجرى حظره بحلول الساعة 16:21.

وأوضح Klaba أن الإصدارات المتأثرة هي v0.11.0 وv0.12.0 وv0.13.0 وv0.14.0 وv0.15.0، بينما لم يتأثر الإصدار 0.10.0 ولا أحدث إصدار 0.16.0.

ورغم أن جودة البرمجية الخبيثة وُصفت بالضعيفة، فإن وظيفتها كانت استرداد معلومات حساسة من القرص، بحسب Klaba.

وفسّر أن الهجوم استغل تعطيل إعداد ثبات الإصدارات (release immutability) على GitHub، ما سمح لحساب ذي صلاحيات بتعديل إصدارات قائمة دون الخضوع لفحوص CI/CD. لكنه أكد أن خطوط CI/CD، بما فيها الاختبارات الوحدية والاختبارات الوظيفية، لم تُخترق.

وبعد الحادثة، أعادت OVHcloud تفعيل ميزة ثبات الإصدارات في GitHub وتعتبر الوضع معالجاً. ومع ذلك، دعا Klaba المستخدمين الذين نزّلوا حزمة CLI المخترقة إلى تنظيف أنظمتهم وإلغاء جميع الأسرار (secrets).

وحذّر قائلاً: «جودة الملف التنفيذي ضعيفة لكنها قد تصل إلى النهاية. إذا كنت متأثراً، فيرجى تغيير جميع الأسرار الموجودة على قرصك».

صلة بعملية GlassWorm

بحسب OpenSourceMalware، وهي منصة استخبارات تهديدات يقودها المجتمع، يُرجّح أن يكون هذا الهجوم مرتبطاً بعملية GlassWorm جديدة نشطة منذ أواخر 2025، واستهدفت سابقاً منظومات تطوير برمجيات متعددة، منها VSCode وnpm.

وأكد الباحثون أن المهاجم لم يعبث بخطوط CI/CD، بل رفع حزماً مصابة بالبرمجيات الخبيثة بُنيت محلياً.

ويشير تحليل OpenSourceMalware إلى أن حساب GitHub المتورط في الهجوم كان مخترقاً لأكثر من ستة أشهر. ورصدوا إعادة كتابة تاريخية آلية (scripted history rewrite) في 5 مارس 2026، وبرنامج تحميل مخفياً preinstall.js يفكّ ترميزه إلى مرحلة ثانية باستخدام dead drop عبر memo على Solana.

ورغم أن المحفظة المرتبطة معروفة كمؤشر على نشاط GlassWorm، لم يحلّل الباحثون الحمولة الخبيثة (payload) التي جرى تسليمها عبر أداة OVHcloud CLI المخترقة.

ويذكر التقرير أن المنصات المتأثرة تشمل macOS (Intel وARM) وLinux (x86_64 وARM64) وWindows x86-64، بينما لم تتأثر عمليات البناء من المصدر ولا صور Docker.

وعلى من نفّذ ملفاً تنفيذياً متأثراً أن يعتبر جميع الأسرار على جهازه مخترقة.

المصدر: BleepingComputer