Rilis OVHcloud CLI di GitHub Disusupi Backdoor untuk Mencuri Kredensial Pengembang
Penyedia layanan cloud dan hosting asal Prancis, OVHcloud, mengeluarkan peringatan keamanan mendesak setelah kelompok peretas berhasil mengompromikan alat command-line interface (CLI) open-source mereka untuk menyebarkan malware pencuri informasi (infostealer).
Pelaku serangan membajak akun GitHub milik salah seorang pengembang untuk mendapatkan akses ke repositori resmi OVHcloud CLI, lalu memodifikasi paket rilis mulai dari versi 0.11.0 hingga 0.15.0. Sebagai informasi, OVHcloud CLI merupakan perangkat baris perintah yang diandalkan oleh para administrator sistem dan pengembang untuk mengelola layanan cloud serta hosting langsung dari terminal, termasuk untuk keperluan otomatisasi tugas infrastruktur.
CEO sekaligus pendiri OVHcloud, Octave Klaba, mengungkapkan langsung insiden pembajakan repositori GitHub tersebut dan mengimbau para pengguna yang mengunduh pembaruan pada tanggal 19 Oktober kemarin untuk segera memperbarui atau menghapus alat tersebut.
Menurut Klaba, rilis yang telah disusupi malware tersebut mulai diunggah pada 19 Oktober pukul 14:47 waktu setempat, dan berhasil dideteksi serta diblokir sekitar pukul 16:21 setelah seorang pelanggan melaporkannya.
“Versi yang terkompromi adalah v0.11.0, v0.12.0, v0.13.0, v0.14.0, dan v0.15.0,” jelas Klaba, sembari memastikan bahwa versi lawas v0.10.0 serta rilis terbaru v0.16.0 yang telah diperbaiki berada dalam kondisi bersih. Meskipun kualitas kode malware yang disisipkan tergolong buruk, tujuan utamanya sangat jelas, yakni untuk mengekstraksi dan mencuri berbagai data rahasia (secrets) seperti kunci API, token, dan kredensial yang tersimpan di dalam diska pengguna.
Celah Fitur Release Immutability Tanpa Menyentuh Jalur CI/CD
Dalam pembaruan investigasinya, Klaba menjelaskan bahwa fitur release immutability (kekekalan rilis) pada repositori GitHub tersebut sebelumnya berada dalam kondisi nonaktif. Celah konfigurasi ini memungkinkan akun dengan hak akses yang cukup tinggi untuk memodifikasi berkas rilis yang sudah ada secara langsung tanpa harus melewati pemeriksaan jalur integrasi berkelanjutan (CI/CD checks).
“Seluruh rangkaian pipeline CI/CD kami yang dilengkapi pengujian unit, pengujian fungsional, deteksi CVE, dan lain sebagainya sama sekali tidak terdampak,” tegas Klaba.
Saat ini, OVHcloud telah mengaktifkan fitur release immutability di GitHub dan menyatakan bahwa celah insiden tersebut telah teratasi. Kendati demikian, Klaba sangat menyarankan para pengguna yang telanjur mengunduh dan menjalankan paket CLI berbahaya tersebut untuk segera melakukan pembersihan sistem secara menyeluruh serta mencabut (revoke) dan mengganti seluruh kredensial rahasia yang tersimpan di perangkat mereka.
Keterkaitan dengan Operasi Kampanye Malware GlassWorm
Berdasarkan analisis dari platform intelijen ancaman komunitas OpenSourceMalware, serangan terhadap OVHcloud CLI ini diduga kuat merupakan bagian dari operasi terbaru GlassWorm—sebuah kampanye berbahaya yang aktif sejak akhir 2025 dan kerap menargetkan ekosistem pengembangan perangkat lunak seperti VSCode, OpenVSX, GitHub, serta registri npm.
Para peneliti mengonfirmasi bahwa penyerang sama sekali tidak mengutak-atik pipeline CI/CD, melainkan mengunggah paket biner terinfeksi yang telah dikompilasi secara lokal (locally built). Menariknya, akun GitHub pengembang yang dibajak dalam serangan ini ternyata sudah terkompromi selama lebih dari enam bulan terakhir.
“Repositori publik milik akun tersebut menunjukkan adanya penulisan ulang riwayat (history rewrite) secara terprogram pada 5 Maret 2026 serta penyisipan loader tersembunyi preinstall.js yang mendekode muatan tahap kedua menggunakan mekanisme dead drop memo jaringan Solana,” ungkap laporan OpenSourceMalware.
Adapun daftar platform yang terdampak oleh biner OVHcloud CLI berwujud Trojan ini meliputi:
- macOS (arsitektur Intel dan ARM / Apple Silicon)
- Linux (arsitektur x86_64 dan ARM64)
- Windows (arsitektur x86-64)
Sementara itu, kompilasi langsung dari kode sumber (source builds) serta citra kontainer Docker images dipastikan aman dan tidak terdampak. Siapa pun yang sempat mengeksekusi berkas biner dari versi yang terdampak diwajibkan untuk menganggap seluruh kredensial dan kunci rahasia di dalam mesin mereka telah bocor ke tangan peretas.
Sumber: Octave Klaba / OpenSourceMalware
