Des versions du CLI d'OVHcloud piégées sur GitHub pour diffuser un infostealer

Le 19 octobre 2026, OVHcloud — le fournisseur français de cloud et d'hébergement — a découvert que des versions de son interface en ligne de commande (CLI) open source hébergées sur GitHub avaient été altérées pour diffuser un logiciel voleur d'informations. Une version piégée est apparue à 14h47 et a été retirée à 16h21 après le signalement d'un client, mais quiconque a téléchargé et exécuté un binaire concerné pendant ce laps de temps doit considérer comme compromis tous les secrets présents sur la machine.

Selon Octave Klaba, président d'OVHcloud, les versions compromises étaient v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 ; la version 0.10.0 et la version suivante, 0.16.0, ont été jugées saines. Les binaires malveillants visaient macOS (Intel et ARM), Linux (x86_64 et ARM64) et Windows x86-64, tandis que les compilations depuis les sources et les images Docker n'étaient pas concernées.

Comment les versions ont été altérées

Les attaquants ont détourné le compte GitHub d'un développeur pour atteindre le dépôt et modifier des versions existantes. OVHcloud a indiqué que le paramètre d'immuabilité des versions de GitHub avait été désactivé, de sorte qu'un compte suffisamment privilégié pouvait écraser des versions publiées sans passer par les contrôles CI/CD du projet ; Klaba a souligné que les pipelines CI/CD eux-mêmes n'avaient pas été affectés et que l'attaquant avait téléversé des paquets infectés compilés localement. Les chercheurs ayant analysé le dépôt ont estimé que le compte semblait compromis depuis plus de six mois, en s'appuyant sur une réécriture scriptée de l'historique datée du 5 mars 2026.

Le code implanté utilisait un chargeur preinstall.js caché qui décodait une seconde charge récupérant ses instructions via une « boîte morte » dans un mémo de la blockchain Solana, dans le but de récupérer des secrets sur le disque. Les chercheurs d'OpenSourceMalware ont rattaché l'opération à GlassWorm, une campagne active depuis la fin 2025 contre la place de marché VS Code, OpenVSX, GitHub et npm, en notant que le portefeuille de cryptomonnaie associé est un indicateur connu de GlassWorm.

Réponse

OVHcloud a réactivé la fonction d'immuabilité des versions de GitHub et a déclaré considérer l'incident comme résolu. L'entreprise a exhorté toute personne ayant téléchargé un paquet compromis à nettoyer le système concerné et à révoquer tous les secrets susceptibles d'avoir été exposés. L'épisode rappelle que le canal de distribution d'un fournisseur de confiance — et pas seulement le code qu'il livre — fait partie de la chaîne d'approvisionnement logicielle, et qu'une prise de contrôle de compte peut transformer une simple mise à jour de CLI en point d'ancrage de collecte d'identifiants sur les machines des développeurs.