แฮกเกอร์ยึดบัญชีนักพัฒนา ฝังมัลแวร์ขโมยข้อมูลใน OVHcloud CLI

OVHcloud ผู้ให้บริการคลาวด์คอมพิวติ้งและเว็บโฮสติ้งรายใหญ่จากฝรั่งเศส รายงานการตรวจพบการโจมตี supply chain โดยแฮกเกอร์ได้เข้าควบคุมบัญชี GitHub ของนักพัฒนารายหนึ่ง เพื่อฝังไฟล์ binary สำหรับขโมยข้อมูลความลับลงในเครื่องมือ command-line interface (CLI) อย่างเป็นทางการของบริษัท

เหตุการณ์นี้เกิดขึ้นเมื่อวันที่ 19 ตุลาคมที่ผ่านมา โดย OVHcloud ระบุว่าซอฟต์แวร์เวอร์ชัน v0.11.0 ถึง v0.15.0 คือกลุ่มที่ถูกบุกรุกและฝังมัลแวร์ ส่วนเวอร์ชัน 0.10.0 และเวอร์ชันล่าสุด 0.16.0 ได้รับการยืนยันว่าปลอดภัย

Octave Klaba ผู้ก่อตั้ง OVHcloud กล่าว ผ่านแพลตฟอร์ม X ว่า แฮกเกอร์ใช้บัญชีที่ขโมยมาเพิ่ม binary ที่ทำหน้าที่ดึงข้อมูลความลับออกจากดิสก์ แม้คุณภาพของโค้ดจะอยู่ในระดับต่ำแต่สามารถทำงานได้จนจบกระบวนการ โดยเวอร์ชันอันตรายถูกปล่อยออกมาเมื่อเวลา 14:47 น. ตามเวลาปารีส และถูกบล็อกในเวลา 16:21 น. หลังจากได้รับแจ้งปัญหาจากลูกค้า

ตามรายงานจาก OpenSourceMalware มีผู้ใช้รายหนึ่งสังเกตพบความผิดปกติและแจ้งเตือนต่อสาธารณะบน GitHub เนื่องจากระบบตรวจสอบ hash อัตโนมัติล้มเหลว

Klaba ชี้แจงในอีก โพสต์ ว่า CI/CD pipelines ไม่ได้รับผลกระทบ แต่สาเหตุเกิดจากไม่ได้เปิดใช้งานตัวเลือก release immutability บน GitHub ทำให้ผู้ที่มีสิทธิ์สามารถแก้ไข release ที่มีอยู่แล้วได้โดยตรงโดยไม่ต้องผ่านการตรวจสอบ ซึ่งปัจจุบันบริษัทได้เปิดใช้งานฟังก์ชันดังกล่าวเพื่อป้องกันเหตุซ้ำรอยแล้ว

ทางด้าน OpenSourceMalware ระบุว่าผู้โจมตีเลือกอัปโหลด binary ทับไฟล์เดิมเฉพาะ build สำหรับแพลตฟอร์มที่ได้รับความนิยม เพื่อมุ่งเป้าเก็บเกี่ยว credential บนเครื่องเวิร์กสเตชันของนักพัฒนาและเจ้าหน้าที่ไอที โดยพบว่าบัญชีดังกล่าวอาจถูกบุกรุกมาตั้งแต่เดือนมีนาคม 2026 เป็นอย่างน้อย เนื่องจากมีการตรวจพบ loader ที่เชื่อมโยงกับกลุ่ม GlassWorm ใน repository ส่วนตัว

อย่างไรก็ตาม นักวิจัยยังไม่สามารถยืนยันได้ร้อยเปอร์เซ็นต์ว่าผู้ก่อการในเดือนมีนาคมและตุลาคมเป็นกลุ่มเดียวกันหรือไม่ โดยระบุว่าเป็นเพียงข้อสันนิษฐานเบื้องต้น ในขณะที่ทาง OVHcloud เองก็ไม่ได้ระบุชื่อกลุ่ม GlassWorm ในแถลงการณ์อย่างเป็นทางการ

สำหรับผู้ใช้ที่ติดตั้งหรืออัปเดต CLI บน macOS, 64-bit Linux หรือ Windows x86_64 ผ่านช่องทางทางการในช่วงเวลา 94 นาทีที่เกิดเหตุ แนะนำให้ตรวจสอบระบบทันที ส่วนผู้ที่ใช้วิธี build จาก source, ใช้คำสั่ง Go install หรือใช้ Docker image ทางการจะไม่ได้รับผลกระทบจากเหตุการณ์นี้