OVHcloud confirma que binarios alterados de su CLI robaron secretos de desarrollo y nube
OVHcloud confirma que binarios alterados de su CLI robaron secretos de desarrollo y nube
Un atacante sustituyó durante 93 minutos los binarios de cinco versiones de ovhcloud-cli en GitHub. El código malicioso buscaba credenciales de nubes, Kubernetes, Docker, npm, SSH y herramientas de IA.
Una ventana breve con impacto directo en secretos
OVHcloud confirmó que una cuenta de desarrollador de GitHub comprometida sustituyó los artefactos de ovhcloud-cli v0.11.0 a v0.15.0 entre las 14:47 y las 16:21 UTC+2 del 19 de octubre. La empresa calcula unas 250 descargas durante los 93 minutos de exposición.
Solo están en riesgo quienes descargaron una de esas versiones dentro de la ventana y ejecutaron el binario. Las copias obtenidas antes, la versión 0.16.0, el código fuente y la cadena de compilación no fueron alterados según la investigación publicada.
Qué recolectaba el stealer
Los binarios buscaban configuraciones y credenciales de AWS, Google Cloud, Azure, Kubernetes, Docker, npm, DigitalOcean, Terraform, SSH y netrc. También recolectaban bases locales y sesiones de VS Code, Cursor, Continue, Cody, OpenCode, Hermes y Claude.
La carga creaba una carpeta temporal envchecker seguida de números, comprimía el material y trataba de exfiltrarlo hacia una dirección IP. OVHcloud atribuye el acceso inicial a claves robadas meses antes mediante una extensión maliciosa instalada en un equipo personal del desarrollador.
Respuesta prioritaria
- No ejecutar el binario para verificarlo; comparar su hash con la lista oficial y buscar carpetas envchecker en temporales.
- Eliminar la copia afectada, instalar v0.16.0 o posterior y rotar todos los secretos accesibles desde el equipo.
- Revisar uso anómalo de credenciales y tokens desde el 19 de octubre, además de sesiones de nube y repositorios.
- Aplicar inmutabilidad, firmas y procedencia verificable a artefactos de publicación.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1BleepingComputer — binarios backdoor de ovhcloud-cli ↗prensa especializada
- 2OVHcloud — aviso GHSA-862f-55f5-vmvw ↗fabricante
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista