Un recente attacco informatico ha colpito la supply chain di OVHcloud CLI, lo strumento a riga di comando usato per gestire servizi cloud. Gli aggressori hanno compromesso un account GitHub di un collaboratore e hanno sostituito gli archivi di download collegati a cinque release esistenti, distribuendo binari modificati progettati per rubare segreti presenti sul disco dei sistemi infetti.
La finestra di esposizione è stata limitata ma critica, perché i file malevoli sono rimasti disponibili su GitHub fino a 94 minuti, e hanno colpito solo chi ha installato o aggiornato il tool in quel periodo.
Le versioni considerate compromesse sono dalla v0.11.0 alla v0.15.0, mentre la v0.10.0 è indicata come pulita. L’attacco non ha modificato il codice sorgente, i tag delle release o la pipeline di build. In pratica, i criminali hanno ricaricato manualmente asset con gli stessi nomi direttamente nella sezione release, sfruttando il fatto che su GitHub chi ha permessi di scrittura può eliminare e sostituire file allegati senza cambiare l’URL di download, a meno che non sia attiva la funzione di release immutabili.
I percorsi a rischio includono il download diretto degli archivi dalle pagine release e soprattutto l’uso dello script di installazione ufficiale, che scarica l’ultima release senza verificare alcun hash. Anche job di CI che recuperano gli asset senza un hash fissato possono aver installato i binari alterati. Al contrario, installazioni tramite Homebrew risultano protette perché i cask bloccano gli SHA-256 e rifiutano download non conformi. Anche build da sorgente o installazioni con go install non rientrano nello scenario, così come l’immagine Docker che non è stata ricostruita durante l’incidente.
Per capire se un binario è sospetto si possono ispezionare i metadati senza eseguirlo, ad esempio con go version -m, cercando incongruenze tra versione, commit e flag di compilazione. In caso di dubbio, la raccomandazione di sicurezza è trattare come esposti tutti i segreti accessibili da quella macchina e procedere alla rotazione delle credenziali da un sistema diverso. Dopo la rotazione è opportuno rimuovere il binario e installare una versione pulita, come la v0.16.0 pubblicata come release immutabile con attestazione di integrità verificabile.