شرکت OVHcloud، ارائه‌دهنده خدمات ابری و میزبانی وب، اعلام کرد که یک هکر با تسخیر حساب GitHub یکی از توسعه‌دهندگان این شرکت، موفق شده است یک فایل باینری مخرب (Secret-stealing binary) را در ابزار رابط خط فرمان (CLI) رسمی این شرکت تزریق کند.
این حادثه زنجیره تأمین (Supply Chain Attack) در تاریخ ۱۹ اکتبر رخ داده و نسخه‌های v0.11.0 تا v0.15.0 این ابزار را تحت تأثیر قرار داده است. نسخه‌های v0.10.0 و نسخه جدید v0.16.0 کاملاً ایمن هستند.
جزئیات فنی و ریشه حمله
طبق گفته‌های اکتو کلا با (Octave Klaba)، بنیان‌گذار OVHcloud، مهاجم از حساب GitHub یک توسعه‌دهنده برای افزودن باینری استفاده کرده که وظیفه آن سرقت اطلاعات حساس (Secrets) از دیسک است. نکته کلیدی این حمله، عدم فعال بودن قابلیت Release Immutability در تنظیمات GitHub بود. این نقص امنیتی به مهاجم اجازه داد تا بدون عبور از مراحل بررسی در خط لوله CI/CD، مستقیماً نسخه‌های منتشر شده را تغییر دهد.
تحقیقات نشان می‌دهد که مهاجم تنها فایل‌های مربوط به پلتفرم‌های رایج را جایگزین کرده است که این موضوع احتمال هدف قرار گرفتن ایستگاه‌های کاری توسعه‌دهندگان و اپراتورها (Credential Harvesting) را تقویت می‌کند.
ارتباط با گروه‌های تهدید
محققان دریافتند که لودر (Loader) مورد استفاده، برای یافتن محموله (Payload) بعدی، از بلاکچین Solana استفاده می‌کند که با شاخص‌های مربوط به گروه GlassWorm مطابقت دارد، هرچند هنوز تأیید قطعی مبنی بر اینکه یک عامل تهدید (Threat Actor) واحد مسئول هر دو حمله بوده، حاصل نشده است.
اقدامات لازم برای کاربران
- کاربرانی که نسخه‌های آلوده را از طریق اسکریپت‌های رسمی، Homebrew یا دانلود مستقیم از GitHub نصب کرده‌اند، در معرض خطر هستند.
- اگر از macOS، 64-bit Linux یا Windows x86_64 استفاده می‌کنید، حتماً نسخه خود را بررسی کنید.
- کاربرانی که از طریق Docker، دستور نصب Go یا ساخت از طریق سورس (Build from source) اقدام به نصب کرده‌اند، تحت تأثیر قرار نگرفته‌اند.
به‌روزرسانی (اکتبر 21, 2026 — Help Net Security)
به‌روزرسانی: تحلیل‌های جدید نشان می‌دهد که حمله به ابزار CLI شرکت OVHcloud توسط گروه عامل تهدید (threat actor) موسوم به GlassWorm انجام شده است. بررسی‌ها حاکی از آن است که حساب GitHub توسعه‌دهنده مورد استفاده، به مدت حدود هفت ماه در اختیار مهاجمان بوده است.
این حمله از نوع Release-asset replacement است؛ به این معنا که مهاجم بدون دستکاری در خطوط تولید (CI/CD) یا سورس‌کد، فایل‌های باینری موجود در نسخه‌های منتشر شده را با نسخه‌های آلوده جایگزین کرده است. این بدافزار به‌طور مشخص برای سرقت اطلاعات حساس (secrets) ذخیره شده در دیسک محلی سیستم‌های توسعه‌دهندگان و اپراتورها طراحی شده است. لازم به ذکر است که کاربران در صورت استفاده از Docker images یا ساخت ابزار از طریق source code، تحت تأثیر این حمله قرار نگرفته‌اند.
همچنین مشخص شده است که فعالیت‌های GlassWorm با الگوهای گسترده‌تری از جمله استفاده از تراکنش‌های بلاکچین Solana برای مدیریت لودرهای مخرب مرتبط است. در صورت استفاده از نسخه‌های آلوده (v0.11.0 تا v0.15.0)، اکیداً توصیه می‌شود تمامی رمزها و اطلاعات حساس موجود در سیستم خود را تغییر دهید.
