В официальный CLI OVHcloud на полтора часа внедрили стилеры

Инцидент произошел 19 октября, когда в пяти выпущенных релизах CLI OVHcloud вместо стандартных программных файлов были размещены стилеры. Этот вредоносный код оставался доступным для загрузки около полутора часов. Злоумышленники также изменили контрольные суммы (хеши) на странице релизов, чтобы скрыть подмену.

Вредоносную активность обнаружил один из пользователей, который использовал жестко прописанный SHA-256 хеш в своей системе непрерывной интеграции (CI). Пользователи macOS, устанавливающие CLI через Homebrew, оказались защищены благодаря проверке хешей в cask-файлах. Анализ показал, что аккаунт, через который были загружены зараженные файлы, был скомпрометирован еще в марте. Загрузчик стилера был замаскирован с использованием невидимых символов Unicode, а адрес следующего этапа атаки получался из memo в блокчейне Solana.