-
20 oktober 2026 om 11:23 | person_outline 36
GitHub-account OVHcloud-ontwikkelaar gecompromitteerd, kwaadaardige code verspreid
Op 19 oktober 2026 werd de GitHub-account van een OVHcloud-ontwikkelaar gecompromitteerd. De aanvaller maakte gebruik van dit gecompromitteerde account om kwaadaardige binaire code in te voegen in officiële releases van de OVHcloud command-line tool (CLI).
Deze schadelijke bestanden werden verspreid via GitHub-releases v0.11.0 tot en met v0.15.0. Versie v0.10.0 werd na onderzoek als schoon geïdentificeerd. De OVHcloud CLI dient voor het beheer van cloudservices, accountbronnen en geautomatiseerde workflows en ondersteunt onder andere authenticatie via een lokaal .ovh.conf-bestand met credentials en omgevingsvariabelen.
De malware in de getroffen releases was erop gericht om gevoelige informatie van computers te stelen door binaire code toe te voegen die secrets van de schijf moest ophalen. Het is niet bekend welke specifieke bestanden de malware doorzocht, noch waar de verzamelde gegevens naartoe werden gestuurd.
Een klant ontdekte verdachte wijzigingen in de releases, waarbij releasebestanden waren vervangen door een "dirty build" van een latere commit. Dit leidde tot een publiek issue waarin de klant zich afvroeg welk account achter de wijzigingen zat en of releasebestanden beschermd moesten worden tegen vervanging. De klant koos voor een publieke melding omdat de repository geen kanaal bood voor privékwetsbaarheidsrapportage.
De gecompromitteerde bestanden werden om 14:47 geüpload en om 16:21 gedetecteerd en geblokkeerd. OVHcloud slaagde erin de kwaadaardige bestanden binnen 94 minuten te isoleren. Initiële controles van OVHcloud wezen geen andere getroffen repositories aan.
OVHcloud heeft inmiddels een veilige vervangende versie, v0.16.0, uitgebracht op de officiële GitHub releasespagina van het project en deze als onveranderlijk gemarkeerd. Gebruikers die de CLI tijdens de incidentperiode hebben gedownload, worden dringend geadviseerd deze onmiddellijk bij te werken of te verwijderen.
Betrokken gebruikers wordt aangeraden om alle opgeslagen geheimen op hun schijf te wijzigen. Organisaties die mogelijke blootstelling onderzoeken, dienen machines te identificeren die de getroffen bestanden hebben gedownload en uitgevoerd, bewijsmateriaal te bewaren en accountactiviteit te controleren die verband houdt met mogelijk blootgestelde credentials. Het is niet bekend hoeveel gebruikers de kwaadaardige downloads hebben uitgevoerd. Dit incident is een voorbeeld van het bredere patroon waarbij vertrouwde software-updates worden misbruikt om ontwikkelaars- en cloudcredentials te stelen.
Deze schadelijke bestanden werden verspreid via GitHub-releases v0.11.0 tot en met v0.15.0. Versie v0.10.0 werd na onderzoek als schoon geïdentificeerd. De OVHcloud CLI dient voor het beheer van cloudservices, accountbronnen en geautomatiseerde workflows en ondersteunt onder andere authenticatie via een lokaal .ovh.conf-bestand met credentials en omgevingsvariabelen.
De malware in de getroffen releases was erop gericht om gevoelige informatie van computers te stelen door binaire code toe te voegen die secrets van de schijf moest ophalen. Het is niet bekend welke specifieke bestanden de malware doorzocht, noch waar de verzamelde gegevens naartoe werden gestuurd.
Een klant ontdekte verdachte wijzigingen in de releases, waarbij releasebestanden waren vervangen door een "dirty build" van een latere commit. Dit leidde tot een publiek issue waarin de klant zich afvroeg welk account achter de wijzigingen zat en of releasebestanden beschermd moesten worden tegen vervanging. De klant koos voor een publieke melding omdat de repository geen kanaal bood voor privékwetsbaarheidsrapportage.
De gecompromitteerde bestanden werden om 14:47 geüpload en om 16:21 gedetecteerd en geblokkeerd. OVHcloud slaagde erin de kwaadaardige bestanden binnen 94 minuten te isoleren. Initiële controles van OVHcloud wezen geen andere getroffen repositories aan.
OVHcloud heeft inmiddels een veilige vervangende versie, v0.16.0, uitgebracht op de officiële GitHub releasespagina van het project en deze als onveranderlijk gemarkeerd. Gebruikers die de CLI tijdens de incidentperiode hebben gedownload, worden dringend geadviseerd deze onmiddellijk bij te werken of te verwijderen.
Betrokken gebruikers wordt aangeraden om alle opgeslagen geheimen op hun schijf te wijzigen. Organisaties die mogelijke blootstelling onderzoeken, dienen machines te identificeren die de getroffen bestanden hebben gedownload en uitgevoerd, bewijsmateriaal te bewaren en accountactiviteit te controleren die verband houdt met mogelijk blootgestelde credentials. Het is niet bekend hoeveel gebruikers de kwaadaardige downloads hebben uitgevoerd. Dit incident is een voorbeeld van het bredere patroon waarbij vertrouwde software-updates worden misbruikt om ontwikkelaars- en cloudcredentials te stelen.
Facts
1. Op 19 oktober 2026 werd de GitHub-account van een OVHcloud-ontwikkelaar gecompromitteerd.
2. De aanvaller gebruikte dit gecompromitteerde account om kwaadaardige binaire code toe te voegen aan officiële releases van de OVHcloud command-line tool (CLI).
3. De kwaadaardige bestanden werden verspreid via GitHub-releases v0.11.0, v0.12.0, v0.13.0, v0.14.0 en v0.15.0. Versie v0.10.0 werd als schoon geïdentificeerd.
4. De OVHcloud CLI wordt gebruikt om cloudservices, accountbronnen en geautomatiseerde workflows te beheren. De tool ondersteunt authenticatiemethoden zoals een lokaal .ovh.conf-bestand met credentials en omgevingsvariabelen voor applicatiesleutels, applicatiegeheimen en consumentensleutels.
5. De malware in de gecompromitteerde releases was ontworpen om geheimen van computers te verzamelen, door binaire code toe te voegen die geheimen van de schijf moest ophalen. De beschikbare informatie stelt niet vast welke specifieke bestanden de malware doorzocht of waar verzamelde data naartoe werd gestuurd.
6. Een klant ontdekte verdachte wijzigingen in de releases, waarbij releasebestanden werden vervangen door een "dirty build" van een latere commit.
7. Het openbare issue #300 behandelt de vervanging van assets voor v0.13.0 tot en met v0.15.0. OVHcloud noemde nog twee extra getroffen versies.
8. De klant vroeg zich af welk account achter de wijzigingen zat en of releasebestanden tegen vervanging vergrendeld moesten worden.
9. De klant rapporteerde dit publiekelijk omdat de repository geen kanaal had voor privékwetsbaarheidsrapportage.
10. De gecompromitteerde bestanden verschenen om 14:47 en werden gedetecteerd en geblokkeerd om 16:21. OVHcloud kon de kwaadaardige bestanden binnen 94 minuten blokkeren.
11. Initiële controles van OVHcloud vonden geen andere getroffen repositories.
12. OVHcloud heeft een veilige vervangende versie, v0.16.0, beschikbaar gesteld op de officiële GitHub releasespagina van het project en deze gemarkeerd als onveranderlijk.
13. OVHcloud dringt er bij gebruikers die de CLI tijdens de incidentperiode hebben gedownload op aan deze onmiddellijk bij te werken of te verwijderen.
14. Betrokken gebruikers wordt geadviseerd om alle opgeslagen geheimen op hun schijf te wijzigen.
15. Organisaties die mogelijke blootstelling onderzoeken, moeten machines identificeren die getroffen bestanden hebben gedownload en uitgevoerd, beschikbare bewijzen bewaren en accountactiviteit controleren die verband houdt met mogelijk blootgestelde credentials. De beschikbare informatie stelt niet vast hoeveel gebruikers de kwaadaardige downloads hebben uitgevoerd.
16. Dit incident past in een breder patroon van het gebruik van vertrouwde software-updates om ontwikkelaars- en cloudcredentials te stelen.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord