L'OVHcloud CLI a été visé le 19 octobre : cinq versions piégées ont circulé sur GitHub pendant 94 minutes au plus.

L’OVHcloud CLI, l’outil en ligne de commande du fournisseur de cloud, a été visé par une attaque sur sa chaîne d’approvisionnement. L’incident s’est produit le lundi 19 octobre. D’abord, un pirate a pris le contrôle du compte GitHub d’un contributeur. Ensuite, il s’en est servi pour remplacer les archives de téléchargement de cinq versions déjà publiées. Selon OVHcloud, les nouveaux fichiers contenaient une version modifiée de l’outil. En effet, cette version était conçue pour voler les secrets stockés sur le disque des machines qui l’exécutent.

Ce que l’on sait de l’attaque contre l’OVHcloud CLI

Le point de départ est un compte de contributeur compromis. L’attaquant n’a donc pas eu besoin de forcer les défenses du dépôt. Il a utilisé des droits légitimes, mais détournés.

Il n’a pas créé de nouvelle version suspecte. En revanche, il a remplacé les fichiers de cinq releases existantes. Ces versions portaient déjà un numéro connu. Les utilisateurs les jugeaient sans doute fiables. Ainsi, cette méthode réduit les chances d’éveiller les soupçons.

Les fichiers modifiés ne servaient pas à perturber le service. Selon le fournisseur, ils visaient un objectif précis : le vol de secrets présents sur le disque. Il peut s’agir, par exemple, de jetons d’accès, de clés ou de fichiers de configuration. Autrement dit, il s’agit de tout ce qu’un outil d’administration cloud manipule au quotidien.

Une fenêtre d’exposition de 94 minutes

Les archives piégées sont restées en ligne sur GitHub pendant une durée maximale de 94 minutes. La période court de 12 h 47 à 14 h 21 UTC. Ce délai paraît court. Cependant, il suffit largement pour toucher des utilisateurs.

En effet, les outils en ligne de commande sont souvent téléchargés par des scripts. Ils sont aussi récupérés par des pipelines d’intégration continue. En outre, une machine automatisée ne remarque pas qu’une archive a changé. Elle exécute simplement ce qu’elle a reçu.

Par ailleurs, le chiffre de 94 minutes correspond à une durée maximale. Autrement dit, certaines archives ont pu rester en ligne moins longtemps. Les informations communiquées ne précisent pas combien de téléchargements ont eu lieu pendant cet intervalle. De plus, elles n’indiquent pas si des secrets ont effectivement été exfiltrés.

Pourquoi ce type de compromission est si redoutable

Cette attaque illustre une tendance bien connue. Les pirates ciblent de plus en plus les maillons de la chaîne logicielle plutôt que les cibles finales. Ainsi, un seul compte compromis peut donner accès à de nombreux environnements.

Un outil de gestion cloud est une cible de choix. En effet, il fonctionne souvent avec des privilèges élevés. De plus, il côtoie des identifiants qui ouvrent l’accès à des infrastructures entières. Un programme malveillant qui s’y fait passer pour l’outil officiel hérite donc de cette position de confiance.

Le choix de remplacer des archives existantes est également instructif. Les utilisateurs qui vérifient seulement le numéro de version n’y verraient rien d’anormal. En effet, le numéro reste le même, alors que le contenu a changé. C’est pourquoi la seule consultation de la page des releases ne garantit rien.

Le rôle du compte de contributeur

Le compte détourné était au cœur de l’opération. En effet, un contributeur dispose de droits qui permettent de modifier des ressources publiées. Si son accès est volé, l’attaquant en profite aussitôt. Par conséquent, la sécurité d’un projet dépend aussi de l’hygiène de chacun de ses membres.

Que faire si vous utilisez l’OVHcloud CLI ?

Les utilisateurs de l’OVHcloud CLI doivent d’abord déterminer s’ils ont téléchargé l’outil le 19 octobre. La fenêtre à contrôler va de 12 h 47 à 14 h 21 UTC. Cette vérification concerne aussi les scripts et les pipelines automatisés. En effet, leurs journaux permettent de retrouver l’heure exacte des téléchargements.

Si un téléchargement tombe dans cette fenêtre, il faut agir avec prudence. Voici les mesures logiques à envisager :

• D’abord, désinstaller la version téléchargée, puis la réinstaller depuis une source saine, en suivant les indications d’OVHcloud.
• Ensuite, considérer comme exposés les secrets présents sur la machine concernée.
• Ainsi, renouveler les jetons, les clés d’API et les mots de passe stockés sur le disque.
• Examiner également les journaux d’activité du compte cloud pour repérer toute action inhabituelle.
• Enfin, isoler la machine si un doute subsiste sur son état.

Par ailleurs, cet incident rappelle quelques bonnes pratiques. Il est recommandé de vérifier les empreintes cryptographiques des fichiers téléchargés. Il est aussi utile d’épingler les dépendances et de limiter les droits des comptes dans les pipelines. Enfin, les contributeurs doivent activer l’authentification multifacteur sur leur compte GitHub.

Ce qu’il faut retenir

• Le lundi 19 octobre, un pirate a détourné le compte GitHub d’un contributeur d’OVHcloud.
• Ensuite, cinq releases existantes de l’outil en ligne de commande ont vu leurs archives remplacées.
• En effet, les fichiers malveillants étaient conçus pour voler les secrets stockés sur le disque.
• Ils sont restés en ligne jusqu’à 94 minutes, de 12 h 47 à 14 h 21 UTC.
• Par conséquent, toute machine ayant exécuté ces archives doit être traitée comme potentiellement compromise, et ses secrets renouvelés.

Source : Hackers Hijack Five OVHcloud CLI Releases to Distribute Secret-Stealing Malware