OVHcloud CLI'nin GitHub sürümleri zararlıyla değiştirildi: 94 dakikalık pencere, sırları döndürün

Tedarik zinciri 6 dk okuma 20 Ekim 2026

19 Ekim'de OVHcloud'un açık kaynak komut satırı aracının (ovhcloud-cli) GitHub sürüm dosyaları, bilgi çalan bir yapıyla değiştirildi. Değiştirilen dosyalar yaklaşık 94 dakika indirilebilir kaldı. OVHcloud temiz bir v0.16.0 yayımladı. O pencerede kurulum ya da güncelleme yaptıysan, makinendeki sırları açığa çıkmış say.

Doğrulama: Haber doğru, ama ifade düzeltmesi gerekiyor. Aracın kaynak kodu "ele geçirilmedi"; saldırgan GitHub Releases'teki derlenmiş dosyaları değiştirdi. Kaynak koddan derleyenler (go install) ve Docker imajını kullananlar etkilenmedi. Bir de iki ayrı katman var: zararlının ne yaptığı hakkındaki bilgi şimdilik OVHcloud'un açıklamasına dayanıyor, çünkü dosyalar arşivlenmeden silindi. Atıf (GlassWorm) kanıtlanmış değil, güçlü bir olasılık.

Ne oldu?

OpenSourceMalware'in analizine göre saldırgan, OVH'nin GitHub'daki bir eski katkıcısına ait, daha önce ele geçirilmiş bir hesabı kullandı. Hesap, Mart 2026'da kişisel depolarına zorla gönderilen (force push) bir yükleyiciyle kirlenmişti. Ekim'deki sürüm değişikliği ise CI üzerinden değil, GitHub Releases API'si ve yazma yetkili bir belirteçle yapıldı.

19 Ekim, 12:47 UTC dolayı: v0.11.0 ile v0.15.0 arasındaki sürümlerde her biri için altı dosya (macOS, Linux ve Windows x86_64/arm64 ile checksums.txt) değiştirildi. Saatler, olayı bildiren kişinin kaydına dayanıyor.
13:50: Bir CI hattı SHA-256 doğrulaması başarısız olunca issue #300 açıldı.
14:21: OVHcloud değiştirilen dosyaları sildi. Zararlı dosyalar yaklaşık 94 dakika indirilebilir kaldı.
17:16: Temiz, değiştirilemez v0.16.0 yayımlandı.

Etkilenmeyenler: v0.10.0, i386 ve Windows arm64 dosyaları, WASM derlemesi, go install, ovhcom/ovhcloud-cli Docker imajı ve 12:47 UTC öncesindeki kurulumlar.

Zararlı ne yapıyordu?

Kesin olan: değiştirilen ikili, taahhüt edilmemiş değişikliklerle yapılmış sıradan bir go build çıktısıydı. Sürüm bilgisi yoktu, bu yüzden ovhcloud version doğru etiketi göstermiyordu.

OVHcloud'un açıklamasına göre ikili, kullanıcının diskindeki sırları arıyordu. Bunu bağımsız olarak doğrulayan olmadı: yük silindiği için kimse arşivlemedi. Ne okuduğu ve verinin nereye gittiği bilinmiyor. Mart'taki yükleyicinin statik analizi (çalıştırılmadan) ise şunu gösteriyor: gizli karakterlerden şifreli bir ikinci aşama çıkarıyor, sistem Rusça görünüyorsa duruyor ve çalıştıracağı adresi bir Solana cüzdanındaki not alanından okuyor. Bu, operatöre depolara dokunmadan yükü değiştirme imkânı veriyor.

Kim yaptı?

OpenSourceMalware, yükleyicideki Solana cüzdanının bilinen GlassWorm gösterge listelerinde olduğunu ve zorla gönderme tekniğinin ForceMemo adlı kampanyayla örtüştüğünü söylüyor. Ama Mart ile Ekim olaylarını aynı aktörün yaptığı çıkarım; ortak olan tek şey hesap. Yorum: "GlassWorm yaptı" demek şimdilik fazla iddialı. Doğrulanmış olan, hesabın ele geçirilmiş olduğu.

Ne yapmalı?

Pencerede mi kurdun? 19 Ekim'de 12:47 ile 14:21 UTC (Türkiye saatiyle 15:47-17:21) arasında install.sh, Homebrew, doğrudan indirme ya da GitHub'dan çeken bir CI ile kurulum veya güncelleme yaptıysan etkilenmiş olabilirsin.
Binary'yi kontrol et. ovhcloud version çalıştır; doğru etiketi göstermiyorsa şüphelen. go version -m çıktısında vcs.modified=true ya da +dirty da işaret.
Sırları başka bir makineden döndür. OVH API anahtarları ve ~/.ovh.conf, bulut kimlik bilgileri, SSH anahtarları, .npmrc, .pypirc, .netrc, Kubernetes yapılandırmaları ve .env dosyaları.
Kaldır ve v0.16.0 ya da sonrasını kur. GitHub CLI ile gh attestation verify kullanarak doğrulayabilirsin.

Genel olarak: CI'da indirdiğin dosyaların karma değerini sabitle ve doğrula, kullanılmayan depolardaki beklenmedik force push'lara uyarı kur, preinstall betiklerini gözden geçir.

Bilinmeyenler

Hesabın kimlik bilgilerinin nasıl çalındığı.
Zararlının tam davranışı ve verileri nereye gönderdiği.
Pencere sırasında kaç indirme olduğu.
Başka OVH depolarının etkilenip etkilenmediği.

Bu yazı genel bilgi amaçlıdır. Zaman çizelgesi ikincil kaynaklara dayanıyor ve OVHcloud'un resmî açıklamasıyla küçük farklar gösterebilir; kendi ortamın için resmî duyuruyu esas al.

Kaynaklar

Tüm haberlere dön