ハッカーがOVHcloudのGitHubリポジトリを侵害、機密情報を窃取するマルウェアを配布

OVHcloudは、同社のコマンドラインインターフェース（CLI）リポジトリを狙ったサプライチェーン攻撃が発生したと報告しました。攻撃者は開発者のGitHubアカウントを悪用し、ユーザーのディスクから機密情報を窃取するよう設計された悪意あるバイナリを配布しました。

CEOのOctave Klaba氏は、顧客からの報告を受け、2026年10月19日にインシデントを確認したと明らかにしました。同社は14:47に侵害されたリリースを特定し、16:21までに検知・遮断しました。この間の露出時間は94分に及びます。

影響を受けたバージョンは、v0.11.0、v0.12.0、v0.13.0、v0.14.0、v0.15.0です。Klaba氏は、v0.10.0と近日公開予定のv0.16.0は侵害されていないと説明しています。

侵害されたOVHcloudのGitHubリポジトリ

The Stackによると、攻撃者はOVHcloudの開発者のGitHubアカウントにアクセスし、CLIリポジトリに悪意あるバイナリを仕込みました。

このユーティリティは、顧客が同社のクラウドサービスを管理するためのツールです。運用上の認証情報へのアクセスを狙う攻撃者にとって、格好の標的となっていました。

Klaba氏は「ハッカーは開発者のGitHubアカウントを使い、ディスク上のシークレットを取得するよう設計されたバイナリを追加した」と述べました。そのバイナリは品質が低かったものの、悪意ある目的は十分に果たしたとも認めています。

OVHcloudが初期調査を行ったところ、ほかに影響を受けたリポジトリは見つかっていません。ただし同社は、開発者アカウントがどのように侵害されたのか、マルウェアがどのファイルを標的にしたのか、データの外部送出に成功したのかについて、引き続き調査を進めています。

現時点の公表内容で確認できたのは、悪意ある配布と、シークレットを取得する機能の存在です。一方で、侵害された顧客の数や、窃取された認証情報の数は確認されていません。

顧客からの報告では、HassenBFというアカウントに関わる不審な動きが指摘され、「汚染されたビルド（dirty build）」への懸念も示されました。報告者によると、このアカウントはOVH組織のメンバーとしても、リポジトリのコントリビューターとしても公には確認できなかったということです。

ただし報告者は、非公開のメンバーシップであれば説明がつくとも認めています。それより重要な点として、報告者はリリースアセットに加えられた変更に疑問を呈し、再ビルドの正当性について説明を求めました。さらに、公開済みのアセットは不変として扱うか、既存のファイルを上書きせず新しいバージョンをリリースするよう提案しています。

この顧客は、モジュールプロキシ経由のビルドに切り替えたことにも言及しました。リポジトリでは非公開の脆弱性報告が有効になっていなかったため、懸念を公開の場で提起したということです。

脆弱性アセスメントサービス

こうした指摘はインシデントの発覚につながりましたが、攻撃者のアクセス範囲や、リリースがどのように改ざんされたのかという全体像までは明らかになっていません。

Klaba氏は、当日に影響を受けたバージョンのCLIをダウンロードしたユーザーに対し、直ちに更新するか削除するよう呼びかけました。「影響を受けた場合は、ディスクに保存しているすべてのシークレットを変更してください」と助言しています。

実行ファイルを入れ替えれば、悪意あるソフトウェアは排除できます。しかしOVHcloudは、確実に復旧するには認証情報の交換も欠かせないと強調しています。

今回のインシデントは、メンテナーのアカウントが侵害されると、信頼されたソフトウェア配布経路が攻撃経路に変わりかねないことを示しています。定例の更新をダウンロードするユーザーから見て、リポジトリが正規のものに見える場合でも例外ではありません。

MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。