フランスのクラウドコンピューティング・Webホスティング企業OVHcloudは、同社のオープンソースのコマンドラインインターフェース(CLI)ツールが何者かに改ざんされ、情報窃取型マルウェアの配布に悪用されたとして、顧客に注意を呼びかけました。
OVHcloudのOctave Klaba CEOはXで、この問題を公表しました。同日に最新のCLIリリースをダウンロードしたユーザーに対し、ツールを更新するか削除するよう呼びかけています。
Klaba氏によると、改ざんされたのはv0.11.0からv0.15.0までの5バージョンです。v0.10.0は影響を受けておらず、新たに公開されたv0.16.0も安全です。
改ざんされたリリースは10月19日の14時47分に公開され、顧客からの報告を受けて16時21分にブロックされました。Klaba氏は「問題を報告してくれた顧客に感謝します」と投稿しています。
同氏は「攻撃者は開発者の1人のGitHubアカウントを使い、ディスク上のシークレットを抜き取るバイナリを追加した」と説明しました。さらに「バイナリの品質は低いが、最後までやり遂げることはできる」とも述べています。
続報でKlaba氏は、同社が分析を完了したと明らかにしました。単体テスト、機能テスト、CVE検出を含むCI/CDパイプラインは影響を受けていないとしています。
Klaba氏は「原因は、GitHubのリリース不変性(release immutability)オプションが有効になっていなかったことにある。そのため、適切な権限を持つユーザーが、CI/CDによるチェックを一切受けずに、GitHub上の既存リリースを直接書き換えられる状態だった」と説明しました。
OVHcloudはその後このオプションを有効にし、インシデントは収束したとしています。
GlassWormとの関連
コミュニティ主導の脅威インテリジェンスプラットフォームであるOpenSourceMalwareは、この攻撃をGlassWormの攻撃グループによるものと結び付けています。
GlassWormの攻撃者は、ソースコードリポジトリ、クラウドプラットフォーム、CI/CDパイプライン、パッケージレジストリにアクセスできる点に目を付け、少なくとも2025年初めからソフトウェア開発者を狙ってきました。2026年5月には、CrowdStrike、Google、Shadowserver Foundationが、GlassWormのボットネットが使う4つのコマンド&コントロール(C2)チャネルを同時に停止させ、ボットネットの活動を妨害しました。
OpenSourceMalwareの分析によると、攻撃者がOVHcloudのCI/CDパイプラインに手を加えた形跡はありません。悪意あるバイナリはワークステーション上で作成され、GitHub上の既存の5つのリリースにアップロードされて、正規のファイルと差し替えられていました。
アップロードに使われたGitHubアカウントはOVHcloudのコントリビューターのもので、約7か月前から侵害されていたとみられます。
2026年3月には、何者かがこのアカウントの個人リポジトリ複数の履歴を書き換え、Solanaブロックチェーンのトランザクションを通じて次の段階のペイロードを取得する隠しローダーを仕込みました。ここで使われたウォレットはGlassWormの既知の痕跡(IoC)ですが、この侵害と10月の攻撃との関連は分析者自身の推測だとしています。
研究者らは「これはリリースアセット差し替え型の攻撃だ」と指摘しています。
研究者らはブログで、次のように補足しました。「ソースリポジトリには手が加えられていない。そのため、Goモジュールプロキシで検証した場合やソースからビルドした場合は問題なかった。しかし、この期間中にmacOS、Linux(x86_64/arm64)、Windows(x86_64)でinstall.shやbrew install –cask ovh/tap/ovhcloud-cliを実行した場合、またはGitHubからtarballをダウンロードした場合は、マルウェアに感染した」
ソースからCLIをビルドしたユーザーや、Dockerイメージを取得したユーザーは影響を受けていません。
改ざんされたバージョンをインストールした場合は、そのマシンに保存されているすべてのシークレットを変更する必要があります。Klaba氏も「影響を受けた場合は、ディスク上のすべてのシークレットを変更してください」と強く求めています。
OVHcloudは、誰かがアーカイブする前に悪意あるファイルを削除しました。このため、OpenSourceMalwareはペイロードを分析できていません。ただ、攻撃者が狙ったプラットフォームから、分析者らは「開発者や運用担当者のワークステーションを狙った認証情報の窃取とみられる」と推測しています。
翻訳元: https://www.helpnetsecurity.com/2026/10/21/ovhcloud-cli-github-malware/
