Hier, si vous avez installé l’outil en ligne de commande d’OVHcloud depuis GitHub entre 14h47 et 16h21, alors vous avez récupéré un programme conçu pour fouiller votre disque à la recherche de secrets. Et effacer l’exécutable ne vous protège pas, il faut changer toutes les clés stockées sur la machine.
Six semaines après avoir décroché la qualification SecNumCloud pour son cloud public, OVHcloud a subi une attaque par la chaîne d’approvisionnement. Le pirate n’est jamais entré dans ses centres de données. Il a piégé ovhcloud, l’outil avec lequel développeurs et administrateurs pilotent leurs serveurs depuis un terminal, et les utilisateurs ont récupéré le fichier vérolé sur les pages officielles du projet. « La version CLI de 14h47 a été compromise par un hacker », a prévenu Octave Klaba, fondateur d’OVHcloud, sur son compte X. Cinq versions, de la 0.11.0 à la 0.15.0, sont concernées, mais la méthode d’installation compte davantage que le numéro de version pour savoir si vous êtes exposé.
Des fichiers remplacés des semaines après leur publication
Le pirate n’a touché ni au code source ni à la chaîne de compilation. Octave Klaba évoque le compte GitHub « d’un des développeurs ». D’après la chronologie reconstituée par OpenSourceMalware, ce compte appartient à un contributeur de la documentation d’OVHcloud, doté des droits d’écriture sur le dépôt de l’outil. En 25 minutes, le pirate a supprimé puis remplacé les archives de cinq versions publiées entre avril et septembre. Il a ensuite changé le fichier checksums.txt, avec lequel l’utilisateur contrôle l’intégrité d’un téléchargement, pour que les empreintes collent aux binaires piégés. L’attaquant a profité de deux faiblesses. Tout compte doté des droits d’écriture pouvait modifier les fichiers d’une version publiée, et aucune empreinte n’était contrôlée lors de l’installation par le script officiel.
Un client d’OVHcloud avait heureusement fixé, dans sa chaîne d’intégration, l’empreinte SHA-256 de l’archive Linux pour processeurs ARM, et il a vu ses compilations échouer dès le remplacement du fichier. Il a alerté OVHcloud par un signalement public sur le dépôt. Les équipes d’OVHcloud ont effacé les fichiers à 16h21, puis publié une version 0.16.0 signée, dont les fichiers ne peuvent plus être modifiés. « Cette version est immuable, donc les fichiers qui y sont attachés sont fiables », a écrit l’un des mainteneurs de l’outil dans la discussion.
Selon OpenSourceMalware, le pirate contrôlait le compte du contributeur depuis au moins le 5 mars. Ce jour-là, quatre de ses dépôts personnels ont reçu un chargeur écrit en caractères Unicode invisibles. Le portefeuille Solana qui le pilote apparaît dans les listes d’indicateurs de GlassWorm. Repérés en octobre 2025 dans des extensions de l’éditeur VS Code, ces pirates volent les identifiants des développeurs puis réutilisent ces accès pour piéger d’autres logiciels. Les auteurs du ver Miasma, dont l’arsenal complet traîne en libre accès sur GitHub depuis juin, avaient rebondi vers d’autres projets avec les identifiants volés après avoir infecté des paquets npm publiés sous le compte de Red Hat. Les chercheurs ne peuvent toutefois pas prouver que le pirate de mars a lui aussi remplacé les fichiers en octobre.
- money_offRemboursement 30 jours
- securityCertificat SSL inclus
- install_desktopCompatible WordPress
Les installations concernées et les clés à changer
Si vous avez installé ou mis à jour l’outil entre 14h47 et 16h21 avec le script officiel ou avec Homebrew, vous êtes concerné. Vous êtes tout autant exposé si vous avez récupéré l’archive à la main sur GitHub à ces horaires, ou si vos chaînes d’intégration l’ont fait à votre place. D’après OpenSourceMalware, les développeurs qui ont compilé l’outil à partir du code source ou avec la commande go install n’ont rien à craindre, et l’image Docker d’OVHcloud, fabriquée en interne, n’a pas été touchée. Une installation antérieure à 14h47, sans mise à jour l’après-midi, ne pose pas de problème.
Un doute sur l’exécutable installé sur votre machine ? La commande ovhcloud version affiche le numéro de la version, par exemple v0.15.0, sur un fichier officiel, contrairement au fichier vérolé. Si Go est installé sur votre poste, la commande go version -m appliquée au fichier fait apparaître la mention « dirty » sur la copie piégée.
« La qualité du binaire est médiocre mais il peut aller jusqu’au bout », a averti Octave Klaba, qui demande aux personnes concernées de changer tous les secrets stockés sur leur disque. OpenSourceMalware cite en particulier vos clés d’API OVHcloud, le fichier de configuration ovh.conf, vos clés SSH et vos accès Kubernetes. Changez-les depuis un autre ordinateur, avant de supprimer l’exécutable et d’installer la version 0.16.0. Dans une PME, un développeur garde parfois sur son ordinateur les clés de tous les serveurs de production, et le pirate qui les a copiées peut encore s’en servir tant que vous ne les avez pas révoquées.
OVHcloud a promis un post-mortem détaillé sous quelques jours. Le client à l’origine de l’alerte attend de savoir si le compte piraté pouvait aussi pousser du code ou créer des étiquettes de version sur le dépôt.
