OVHcloud'un komut satırı aracının beş eski sürümü GitHub'da değiştirildi, yerine gizli bilgileri çalan bir sürüm kondu

Fransız bulut sağlayıcısı OVHcloud’un komut satırı aracı OVHcloud CLI’ın GitHub’daki indirme dosyaları 19 Ekim’de değiştirildi. Saldırgan, aracın deposunda yazma yetkisi olan bir katkıcının ele geçirilmiş GitHub hesabını kullandı ve Nisan ile Eylül arasında yayımlanmış beş sürümün dosyalarını aynı adlı yeni dosyalarla değiştirdi. Yeni dosyalar, çalıştırıldıkları bilgisayarın diskinde saklanan gizli bilgileri çalmak için hazırlanmıştı. The Hacker News’e göre aracın kaynak kodu, sürüm etiketleri ve şirketin derleme hattı etkilenmedi.

Değiştirilen dosyalar 12:47 ile 14:21 UTC (Türkiye saatiyle 15:47 ile 17:21) arasında, en fazla 94 dakika yayında kaldı. Değişikliği, derleme sürecinde dosyanın SHA-256 özetini sabitleyen bir müşteri fark etti. Özet tutmayınca derleme hata verdi, müşteri de durumu GitHub’da herkese açık bir hata kaydıyla bildirdi. OVHcloud değiştirilmiş dosyaları yaklaşık yarım saat sonra sildi ve aynı akşam, dosyaları sonradan değiştirilemeyen temiz v0.16.0 sürümünü yayımladı.

Tedarik zinciri saldırısı bu hafta Rank Math PRO ve UpdraftPlus’tan sonra üçüncü kez, bir yazılımın kendi resmi dağıtım kanalı üzerinden geldi.

Etkilenenler

OVHcloud, v0.11.0’dan v0.15.0’a kadar beş sürümü etkilenmiş, v0.10.0’ı temiz olarak listeliyor. Değiştirilen dosyalar macOS (x86_64 ve arm64), Linux (x86_64 ve arm64) ve Windows (x86_64) arşivleri. Saldırgan v0.15.0’da özet listesini içeren checksums.txt dosyasını da değiştirdiği için, yayımlanan özetler sahte dosyalarla uyuşuyordu. Linux i386, Windows i386, Windows arm64 ve WebAssembly dosyalarına dokunulmadı.

The Hacker News’e göre, belirtilen aralıkta ve bu platformlardan birinde şunlardan birini yaptıysanız değiştirilmiş dosyayı almış olabilirsiniz:

• Resmi kurulum betiğini çalıştırmak. Betik en son sürümü indirip kuruyor ve hiçbir özet kontrolü yapmıyor.
• Beş sürümden birinin dosyasını GitHub’daki sürüm sayfasından indirmek.
• Dosyayı özet sabitlemeden indiren bir CI işi ya da derleme adımı çalıştırmak.
• macOS ya da Linux’ta, betikle ya da elle kurulmuş v0.12.0, v0.13.0 veya v0.14.0 üzerinde aracın kendi güncelleme komutunu çalıştırmak.

Homebrew ile kuranlar etkilenmedi, çünkü Homebrew o sırada orijinal dosyaların özetini tutuyordu ve uyuşmayan dosyayı kurmayı reddederdi. go install ile kuranlar, kaynaktan derleyenler ve Docker imajını kullananlar da etkilenmedi. 19 Ekim 15:47’den (Türkiye saati) önce kurulmuş ve o aralıkta güncellenmemiş kopyalar orijinal.

Değiştirilmiş sürümün tespiti

Dosyayı çalıştırmadan, Go’nun go version -m komutuyla içindeki derleme bilgisine bakılabiliyor. The Hacker News üç işaret sıralıyor: sürüm satırında etiket numarası yerine v0.15.1-0.20261013083505-5ead8ef9b43d+dirty gibi bir ifade bulunması, kaydedilen commit’in 760fd72 yerine 5ead8ef olması ve bir -ldflags="-s -w" satırının yer alması. Yalnızca “+dirty” ifadesine bakmak yanıltıcı, çünkü OVHcloud’un temiz v0.16.0 sürümü de bu ifadeyi taşıyor.

Değiştirilmiş dosyalardan yalnızca birinin özeti yayımlandı: v0.15.0 Linux arm64 arşivi için sahte dosyanın SHA-256 özeti 3833daffcaaaab27e4e0e0833240ffcb1df8df648f4ec0bc4a75c176e28933cb, orijinalinki 5c2beb56e6d83a4b426565a1557791ef759316abcc4effb38dd627c90aeb80e0.

Önerilen önlemler

OVHcloud’un kurucusu Octave Klaba, etkilenenlerin diskte saklanan bütün gizli bilgileri değiştirmesi gerektiğini söyledi. Araç, OVHcloud API anahtarlarını ~/.ovh.conf dosyasında ve ortam değişkenlerinde tutuyor, ama öneri yalnızca bunları değil, o bilgisayardan okunabilen her şeyi kapsıyor.

1. Değiştirilmiş sürümü çalıştırdıysanız ya da emin değilseniz, o bilgisayardan okunabilen bütün şifreleri ve anahtarları değiştirin. Olayı inceleyen OpenSourceMalware, bunun başka bir bilgisayardan yapılmasını öneriyor.
2. Aracı kaldırıp v0.16.0’ı kurun. Önce anahtarları değiştirin, çünkü güncellemek daha önce kopyalanmış bir anahtarı geçersiz kılmıyor.
3. İndirdiğiniz dosyayı GitHub’ın gh release verify-asset v0.16.0 DOSYA komutuyla doğrulayın.

OVHcloud, zararlı yazılımın hangi dosyaları okuduğunu, verileri nereye gönderdiğini ve değiştirilmiş dosyaların kaç kez indirildiğini açıklamadı. Değiştirilmiş arşivlerin bir kopyası henüz herkese açık olarak incelenmiş değil. Şirket önümüzdeki günlerde ayrıntılı bir rapor yayımlayacağını söyledi.

Olayın gelişimi

GitHub’da bir depoya yazma yetkisi olan herkes, bir sürümün ekli dosyalarını silip yerine aynı adlı yenilerini yükleyebiliyor. Bu da indirme adresi değişmeden dosyanın değişmesi demek. GitHub’ın Ekim 2025’ten beri sunduğu “değiştirilemez sürüm” ayarı bunu engelliyor, ama yalnızca ayar açıldıktan sonra yayımlanan sürümleri koruyor. Klaba, sorunun bu ayarın açık olmamasından kaynaklandığını ve artık açıldığını yazdı. Katkıcı hesabının nasıl ele geçirildiği açıklanmadı.

OpenSourceMalware, aynı hesabı daha önce kodu görünmez Unicode karakterlerin içine saklayan GlassWorm kampanyasıyla ilişkilendiriyor. Hesabın kişisel depolarından dördüne Mart ayında bu kampanyaya ait bir yükleyici eklenmiş. Araştırmacılar iki olayın aynı saldırganın işi olduğunun bir “çıkarım” olduğunu vurguluyor. Ekim’deki dosyanın bir kopyası saklanmadığı için doğrudan bir bağ kurulamıyor.