🗓️ Contexte

Source : cyberattaque.org, publié le 19 octobre 2026 et mis à jour le 22 octobre 2026. L’incident a été confirmé publiquement par Octave Klaba, fondateur d’OVHcloud, via un message sur X (Twitter).

🔓 Nature de l’attaque

L’attaque constitue un cas typique d’attaque de la chaîne d’approvisionnement logicielle (supply chain). L’attaquant a compromis le compte GitHub d’un développeur OVHcloud et l’a utilisé pour remplacer les binaires associés aux releases officielles du CLI par des versions contenant un binaire malveillant. Le code source principal du CLI n’a pas été modifié ; seule la chaîne de distribution a été ciblée.

⏱️ Chronologie

  • 14h47 : début de la compromission (injection du binaire malveillant)
  • 16h21 : détection et blocage, suite à l’alerte d’un client
  • Durée totale de la fenêtre d’exposition : environ 94 minutes

📦 Versions affectées

  • ❌ Compromises : v0.11.0, v0.12.0, v0.13.0, v0.14.0, v0.15.0
  • ✅ Non affectée : v0.10.0
  • ✅ Version saine publiée en remplacement : v0.16.0 (tag signé, fichiers de release déclarés immuables)

🦠 Comportement du malware

Le binaire injecté avait pour objectif de récupérer les secrets présents sur le disque de la machine de l’utilisateur, notamment :

  • Clés API
  • Tokens d’accès
  • Identifiants cloud
  • Clés SSH
  • Autres secrets techniques stockés localement

OVHcloud qualifie le malware de rudimentaire mais fonctionnel. L’analyse complète du binaire était encore en cours au moment de la publication.

🔍 Détection

Un utilisateur a détecté l’incident grâce à un système d’intégration vérifiant automatiquement l’empreinte SHA-256 des binaires téléchargés. Le changement inattendu de l’empreinte sur d’anciennes versions a déclenché l’alerte. Les nouveaux exécutables ne correspondaient pas au code de leur version officielle et avaient été construits localement avec des modifications absentes du dépôt public.

🏢 Périmètre et impact

OVHcloud indique qu’aucun autre dépôt GitHub n’a été affecté. La population exposée est composée principalement de développeurs, administrateurs système et équipes techniques, profils susceptibles de stocker de nombreux accès privilégiés sur leurs machines. Un post-mortem détaillé est annoncé.

📰 Type d’article

Article de presse spécialisée relatant un incident de sécurité confirmé sur la chaîne de distribution logicielle d’OVHcloud, avec éléments techniques et déclarations officielles du fondateur.

🧠 TTPs et IOCs détectés

TTP

  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1586.003 — Compromise Accounts: Cloud Accounts (Resource Development)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1553.002 — Subvert Trust Controls: Code Signing (Defense Evasion)
  • T1213 — Data from Information Repositories (Collection)

Malware / Outils

  • OVHcloud CLI malicious binary (stealer)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

  • ⬜ cyberattaque.org — source non référencée (0pts)
  • ✅ 5322 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.cyberattaque.org/ovhcloud-un-hacker-piege-plusieurs-versions-de-son-cli-officiel/