OVHcloud는 GitHub 저장소에 올라온 CLI(명령줄 인터페이스) 도구의 일부 버전이 변조돼 디스크에 저장된 비밀정보를 탈취하려 했다고 밝혔다. 영향을 받은 버전은 0.11.0~0.15.0이며, 해당 바이너리를 실행했다면 기기의 모든 비밀정보가 노출된 것으로 간주하고 정리 작업과 비밀정보 교체를 해야 한다.
OVHcloud CEO 옥타브 클라바(Octave Klaba)는 변조된 릴리스가 2026년 10월 19일 14시 47분에 게시됐고, 고객 신고를 받은 뒤 16시 21분에 탐지해 차단했다고 밝혔다. 버전 0.10.0과 최신 버전 0.16.0은 영향을 받지 않았다. OVHcloud는 GitHub의 릴리스 불변성 기능을 켜고 사고가 해결됐다고 봤다.
클라바에 따르면 공격자는 GitHub 계정을 탈취해 기존 릴리스를 수정했다. 당시 릴리스 불변성 설정이 꺼져 있어 충분한 권한을 가진 계정은 CI/CD 검사를 거치지 않고 릴리스를 바꿀 수 있었다. OVHcloud와 OpenSourceMalware는 CI/CD 파이프라인이 변조되지 않았고, 공격자가 로컬에서 빌드한 악성 패키지를 올렸다고 설명했다.
OpenSourceMalware는 이번 공격이 2025년 말부터 VSCode, OpenVSX, GitHub, npm 생태계를 겨냥해 온 GlassWorm의 새 작전일 가능성이 있다고 봤다. 연구진은 공격에 사용된 GitHub 계정이 6개월 넘게 탈취된 상태였으며, 공개 저장소에서 2026년 3월 5일의 스크립트 기반 기록 변경과 Solana 메모를 이용하는 2단계 로더를 확인했다고 밝혔다. 다만 OVHcloud CLI 변조판을 통해 전달된 악성 페이로드 자체는 분석하지 않았다.
영향을 받은 플랫폼은 macOS(인텔·ARM), Linux(x86_64·ARM64), Windows x86-64다. 소스 빌드와 Docker 이미지는 영향을 받지 않았다. 영향을 받은 바이너리를 실행한 사용자는 시스템을 정리하고 저장된 모든 비밀정보를 폐기한 뒤 교체해야 한다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요