乗っ取られた開発者アカウント、OVHcloud CLIに情報窃取型マルウェアを仕込むために悪用

フランスのクラウドコンピューティング・Webホスティング企業OVHcloudは、ハッカーが同社開発者の1人のGitHubアカウントを悪用し、公式コマンドラインインターフェース（CLI）ツールに、機密情報を盗み出すバイナリを仕込んだと明らかにしました。

このサプライチェーン攻撃は10月19日に発生しました。OVHcloudは、v0.11.0からv0.15.0までのバージョンが侵害されたとしています。バージョン0.10.0と、新たにリリースされたバージョン0.16.0は安全です。

OVHcloud創業者のOctave Klaba氏はX上で、「ハッカーは開発者の1人のGitHubアカウントを使い、ディスク上のシークレットを取得するためのバイナリを追加しました。バイナリの出来は粗末ですが、最後までやり遂げる力はあります」と述べました（フランス語からの翻訳）。

Klaba氏によると、侵害されたバージョンはパリ時間の14時47分に出現し、顧客からの報告を受けて16時21分にブロックされました。OpenSourceMalwareによれば、自動ハッシュチェックが失敗したことを受け、あるユーザーがGitHub上で改ざんを公に指摘したということです。

Klaba氏は別の投稿で、CI/CDパイプラインは影響を受けていないと説明しました。原因は、GitHubのリリースイミュータビリティ（不変性）オプションが有効になっていなかったことにあるといいます。

「その結果、適切な権限を持つユーザーであれば、当社のCI/CDによる検証を一切受けずに、GitHub上の既存リリースを直接変更できる状態でした」とKlaba氏は述べています。このオプションは、すでに有効化されました。

OpenSourceMalwareによると、攻撃者は公開済みリリースの元のファイルを上書きする形でバイナリをアップロードしました。置き換えられたのは主要なプラットフォーム向けのビルドのみで、研究者らは、開発者や運用担当者のワークステーションから認証情報を収集する狙いがあったとみています。

このアカウントは、OVHcloudの正規のコントリビューターのものです。研究者らによると、アカウントは少なくとも2026年3月から侵害されており、同月には個人リポジトリ4件が書き換えられました。うち3件には、隠しローダーが組み込まれていました。

このローダーは次の段階で、Solanaブロックチェーンに問い合わせて別のペイロードの所在を取得します。その際に使用するウォレットは、GlassWormの既知の痕跡（インジケーター）です。

ただし研究者らは、3月のアカウント侵害と10月の攻撃が同一の攻撃者によるものかどうかは確認できていません。「同じ攻撃者が両方を実行したかどうかは、私たちの推測です」と述べています。OVHcloudは声明でGlassWormに言及していません。

OpenSourceMalwareは、OVHcloudが不正なファイルを削除する前にペイロードのサンプルを入手できず、分析できませんでした。

影響を受けるのは、約94分間の時間帯に、公式インストールスクリプト、Homebrew、またはGitHubからの直接ダウンロードでCLIをインストールまたは更新した、macOS、64ビットLinux、Windows x86_64のユーザーです。ソースからビルドした場合、Goのinstallコマンドを使った場合、公式Dockerイメージを取得した場合は影響を受けません。