Un reciente incidente de ciberseguridad afectó a OVHcloud, donde un atacante comprometió la cuenta de GitHub de un colaborador para reemplazar archivos de las herramientas de línea de comandos (CLI) existentes. Durante un período de 94 minutos el 19 de octubre, se distribuyó un malware diseñado para robar secretos almacenados en los discos de las máquinas que ejecutaran las versiones modificadas del CLI. Los usuarios afectados son aquellos que instalaron o actualizaron el OVHcloud CLI en macOS, Linux x86_64 o arm64, o Windows x86_64, durante la ventana de exposición.
El ataque fue posible porque OVHcloud no tenía activada la función de “Immutable Releases” de GitHub para las versiones antiguas, lo que permitió al atacante modificar directamente los archivos de cinco versiones del CLI (v0.11.0 a v0.15.0) sin pasar por el pipeline de CI/CD de la empresa. El malware era un build simple de Go que reemplazó los archivos originales y sus checksums, haciendo que las descargas parecieran legítimas. Las instalaciones realizadas a través del script oficial, descargas directas de GitHub o la función de actualización del propio CLI (que no verificaba hashes) fueron vulnerables. Las instalaciones mediante Homebrew, go install o Docker no se vieron comprometidas, ya que estas plataformas implementan verificaciones de integridad o utilizan imágenes previas al ataque.
Para identificar si su sistema fue comprometido, se puede ejecutar go version -m en el binario del CLI. Un build malicioso mostrará una pseudo-versión como v0.15.1-0.20261013083505-5ead8ef9b43d+dirty y un commit diferente al original, junto con la línea -ldflags="-s -w". Sin embargo, es crucial entender que una etiqueta +dirty por sí sola no indica necesariamente un build malicioso, ya que las compilaciones genuinas también pueden mostrarla. También se publicaron los hashes SHA-256 para diferenciar el archivo comprometido del original.
Si se sospecha que se ejecutó una versión comprometida o no se puede verificar su estado, la recomendación principal es considerar que todas las credenciales y secretos almacenados en la máquina están expuestos y deben ser rotados desde una máquina diferente. Posteriormente, se debe eliminar el binario comprometido e instalar la versión limpia y segura v0.16.0 de OVHcloud CLI, que ya cuenta con la función de Immutable Releases activada. Es fundamental verificar la integridad de las descargas utilizando herramientas como gh release verify-asset.
Qué significa para tu empresa: Este incidente subraya la criticidad de la seguridad en la cadena de suministro de software y la importancia de proteger cada punto de acceso. Para su empresa, la implementación robusta de identidad y MFA es esencial para salvaguardar las cuentas de desarrolladores y administradores, impidiendo el acceso no autorizado que fue el vector inicial de este ataque. Además, dentro de una estrategia de seguridad gestionada por capas, contar con un SOC con monitoreo 24/7 y protección de endpoints EDR/XDR es vital para la detección temprana de actividades maliciosas, como el robo de credenciales, y para mitigar rápidamente el impacto.
Fuente original: The Hacker News — ver artículo →