OVHcloud CLI 在 GitHub 上的发布版本被植入后门，用于窃取开发者机密

法国云和托管服务提供商 OVHcloud 警告用户，攻击者入侵了其开源命令行界面（CLI）工具，以分发信息窃取恶意软件。

攻击者劫持了一名开发者的 GitHub 账户，从而访问 OVHcloud CLI 仓库，并修改了该工具的 0.11.0 至 0.15.0 版本。

OVHcloud 提供该 CLI 工具，作为系统管理员和开发者直接从终端管理云和托管服务的替代方案，包括用于自动化任务。

OVHcloud CEO Octave Klaba 披露，该公司在 GitHub 上的 CLI 仓库遭到入侵，敦促昨日下载了最新版本的用户更新或移除该工具。

Klaba 表示，被篡改的版本于 10 月 19 日 14:47 出现，并在 16:21 接到客户报告后被检测并阻止。

"被篡改的版本是 v0.11.0、v0.12.0、v0.13.0、v0.14.0、v0.15.0，"该 CEO 表示，并补充说较早的 0.10.0 版本和最新的 0.16.0 版本是干净的。

尽管该恶意软件质量不佳，但其目的是"从磁盘中获取机密"，Klaba 解释道。

在后来的更新中，Klaba 分享称 GitHub 的发布不可变性设置处于禁用状态，使得具有足够权限的账户可以在不通过 CI/CD 检查的情况下修改现有发布版本。

"包含单元测试、功能测试、CVE 检测等在内的整套 CI/CD 流水线未受影响。"

OVHcloud 已启用 GitHub 的发布不可变性功能，并认为该事件已解决。

然而，Klaba 敦促下载了被篡改 CLI 包的用户进行系统清理并撤销所有机密。

"该二进制文件质量不佳，但它可以一路深入。如果您受到影响，请更改您磁盘上的所有机密。"

与 GlassWorm 的关联

据社区驱动的威胁情报平台 OpenSourceMalware 称，此次攻击很可能是新一轮 GlassWorm 行动的一部分，该行动以自 2025 年底以来影响 VSCode、OpenVSX、GitHub 和 npm 软件开发生态系统的攻击活动而闻名。

研究人员确认，攻击者未篡改 CI/CD 流水线，而是上传了在本地构建的、感染了恶意软件的包。

研究人员指出，攻击中使用的 GitHub 账户已被攻陷超过半年。

"其公开仓库显示 2026 年 3 月 5 日进行了一次脚本化的历史重写，以及一个隐藏的 preinstall.js 加载器，该加载器会解码出使用 Solana 备忘录死信箱的第二阶段载荷，"OpenSourceMalware 研究人员发现。

尽管关联钱包是一个已知的 GlassWorm 指标，但研究人员未分析通过木马化的 OVHcloud CLI 版本投递的恶意载荷。

根据 OpenSourceMalware 的报告，受影响的平台为 macOS（Intel 和 ARM）、Linux（x86_64 和 ARM64）以及 Windows x86-64。源码构建和 Docker 镜像未受影响。

任何运行过受影响二进制文件的人都应将机器上的所有机密视为已泄露。