Versiones de OVHcloud CLI comprometidas en GitHub distribuían malware para robar secretos

El 20 de octubre de 2026, OVHcloud informó de que un atacante había comprometido su herramienta de código abierto CLI para distribuir malware capaz de extraer información sensible de los equipos de desarrolladores y administradores.

El atacante tomó el control de la cuenta de GitHub de un desarrollador y modificó las versiones 0.11.0, 0.12.0, 0.13.0, 0.14.0 y 0.15.0 de OVHcloud CLI. La versión comprometida apareció a las 14:47 del 19 de octubre y fue detectada y bloqueada a las 16:21, después de que un cliente informara del incidente. Las versiones 0.10.0 y 0.16.0 no estaban afectadas.

Octave Klaba, CEO de OVHcloud, señaló que el malware tenía como objetivo recuperar secretos del disco. La compañía indicó que los atacantes no alteraron las canalizaciones CI/CD ni sus pruebas, sino que subieron paquetes infectados compilados localmente. Las compilaciones de código fuente y las imágenes Docker tampoco resultaron afectadas.

OVHcloud atribuyó el acceso a que la configuración de inmutabilidad de las versiones de GitHub estaba desactivada, lo que permitió modificar versiones existentes con una cuenta suficientemente privilegiada sin pasar de nuevo por las comprobaciones CI/CD. La empresa ya ha activado esa función y considera resuelto el incidente.

La investigación de OpenSourceMalware relaciona probablemente el ataque con una nueva operación de GlassWorm. Según sus investigadores, la cuenta de GitHub utilizada llevaba comprometida más de seis meses y mostraba indicios de una reescritura automatizada del historial y de un cargador oculto preinstall.js. Las plataformas afectadas fueron macOS con Intel y ARM, Linux x86_64 y ARM64, y Windows x86-64.

OVHcloud recomienda a quienes ejecutaron un binario afectado limpiar el sistema y revocar o cambiar todos los secretos almacenados en él, ya que deben considerarse comprometidos.

Fuente: BleepingComputer.