Как в официальный CLI OVHcloud подложили стилер и почему спас только прописанный хеш

Вот важная новость с фронта ИИ: opium 8 минут назад Объяснить с Как в официальный CLI OVHcloud подложили стилер и почему спас только прописанный хеш 6 мин 261 Информационная безопасность * Облачные сервисы * GitHub * Go * 19 октября в официальном CLI OVHcloud полтора часа раздавался стилер. Первым это заметил клиент OVH, у которого в CI был жёстко прописан SHA-256 одного архива. Сама OVH узнала о подмене из его отчёта: через час после подмены сборка у клиента упала, и он завёл issue #300.

Про этот случай уже написали французские СМИ и OpenSourceMalware. Я прошёл по их следам сам: GitHub API, репозитории взломанного аккаунта, блокчейн Solana. Нашлось кое-что, чего в пересказах нет.

Технические детали

Что произошлоovhcloud — Go-утилита, которой управляют серверами, VPS, Public Cloud и доменами OVH из терминала. Ключи API она хранит в ~/. conf или в переменных окружения, то есть на машине разработчика или в CI.

С 15:47 до 16:12 по Москве (12:47–13:12 UTC) через аккаунт HassenBF в пяти уже выпущенных релизах, с v0. 0, заменили бинарники. Новых версий не появилось и тегов не добавилось.

GitHub Actions не запускались. Файлы просто перезалили через Releases API поверх старых, последним шёл checksums. txt, чтобы хеши на странице релиза совпадали с подменой.

Отраслевые последствия

Из десяти файлов релиза заменены сборки для macOS (обе), Linux x86_64 и arm64, Windows x86_64 и файл с хешами. Сборки для i386, Windows arm64 и WASM не тронули — самые редкие платформы. Это видно и сейчас: у v0.

0 на странице осталось ровно по четыре файла, остальные шесть OVH удалила. В 17:21 по Москве (14:21 UTC) подменённые файлы удалили. 0, уже с включёнными у GitHub immutable releases и аттестацией релиза.

Октав Клаба, основатель OVH, написал в X, что злоумышленник воспользовался GitHub-аккаунтом одного из разработчиков, а бинарник ищет на диске секреты. Качество бинарника он назвал посредственным, но рабочим. Почему спас только прописанный хешПроверка по checksums.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.