Comprometieron la cuenta de GitHub de un desarrollador de OVHcloud para distribuir archivos maliciosos a través de las versiones oficiales de su herramienta de línea de comandos (CLI). El ataque de cadena de suministro, ocurrido el 19 de octubre de 2026, tenía como objetivo robar secretos almacenados en los ordenadores de los usuarios. La brecha fue detectada gracias a un cliente que alertó sobre cambios sospechosos en las versiones publicadas.

• Comprometieron la cuenta de GitHub de un desarrollador de OVHcloud y la utilizaron para distribuir archivos maliciosos a través de los lanzamientos oficiales de la herramienta de línea de comandos de la empresa.

El ataque a la cadena de suministro del 19 de octubre de 2026 tuvo como objetivo a los usuarios que descargaban el CLI de OVHcloud, con un malware diseñado para recopilar secretos almacenados en sus ordenadores. Un cliente detectó cambios sospechosos en los lanzamientos y alertó al proveedor de la nube, que bloqueó los archivos maliciosos en un plazo de 94 minutos.

El CEO de OVHcloud, Octave Klaba, afirmó que los lanzamientos afectados fueron v0.11.0, v0.12.0, v0.13.0, v0.14.0 y v0.15.0. Identificó la versión v0.10.0 como limpia y anunció el lanzamiento seguro de la v0.16.0. Ese reemplazo ya está disponible en la página oficial de lanzamientos de GitHub del proyecto, donde está marcada como inmutable, lo que significa que sus archivos de lanzamiento publicados no pueden ser modificados.

Ataque a la cadena de suministro de OVHcloud

Según el relato de Klaba, los archivos comprometidos aparecieron a las 14:47 y fueron detectados y bloqueados a las 16:21. Las comprobaciones iniciales de OVHcloud no encontraron ningún otro repositorio afectado. Estos hallazgos limitan el alcance confirmado al proyecto CLI, en lugar de establecer una brecha más amplia en la organización de GitHub o en la plataforma en la nube de la empresa.

El atacante utilizó una cuenta de desarrollador existente para añadir un binario malicioso al software distribuido a través de GitHub. Esto colocó la amenaza dentro de una ubicación de descarga confiable, dando a los usuarios pocas razones para sospechar que una descarga rutinaria del CLI podría exponer credenciales locales. OVHcloud no ha explicado cómo se comprometió inicialmente la cuenta del desarrollador.

El informe del cliente planteó preocupaciones sobre el hecho de que los archivos de lanzamiento fueran sustituidos por una "compilación sucia" (dirty build) de un commit posterior. En las compilaciones de software, esa etiqueta generalmente indica cambios más allá de la revisión de la fuente registrada. El listado público de incidencias identifica el reporte como la incidencia #300, que cubre los activos reemplazados desde v0.13.0 hasta v0.15.0. La advertencia de OVHcloud mencionó dos versiones afectadas adicionales.

El cliente también cuestionó la cuenta detrás de los cambios y preguntó si los archivos de lanzamiento deberían bloquearse para evitar reemplazos. Mencionó que había pasado a realizar la compilación a través del proxy de módulos de Go mientras buscaba aclaraciones. Su informe fue público porque el repositorio carecía de un canal privado para informar sobre vulnerabilidades.

Klaba describió el programa añadido como un binario cuya función era recuperar secretos del disco. Dijo que su calidad era pobre, pero advirtió que aun así podría lograr su propósito. La información disponible no establece qué archivos buscó, a dónde se enviaron los datos recopilados o cuántos usuarios ejecutaron las descargas maliciosas.

El papel normal del CLI hace que esta amenaza sea especialmente grave. OVHcloud documenta la herramienta como una forma de gestionar servicios en la nube, recursos de cuenta y flujos de trabajo automatizados. Sus métodos de autenticación compatibles incluyen un archivo local .ovh.conf que contiene credenciales, junto con variables de entorno para claves de aplicación, secretos de aplicación y claves de consumidor.

Esas ubicaciones de credenciales documentadas explican por qué una herramienta de administración comprometida puede crear riesgos más allá del programa descargado en sí. Sin embargo, no son una lista confirmada de los objetivos de este malware. Hasta que OVHcloud publique sus hallazgos técnicos, cualquier afirmación específica sobre el robo de claves SSH, contraseñas del navegador, persistencia o infraestructura del atacante iría más allá de la evidencia.

El incidente encaja en el patrón más amplio de actualizaciones de software confiables utilizadas para robar credenciales de desarrolladores y de la nube. Los atacantes pueden utilizar el acceso de publicación robado para convertir los canales familiares de entrega de software en rutas para el robo de credenciales, sin necesidad de que tú visites un sitio web falso.

OVHcloud instó a los usuarios que descargaron el CLI durante el incidente a actualizarlo inmediatamente o eliminarlo. Klaba también aconsejó a los usuarios afectados que cambien todos los secretos almacenados en el disco. La rotación es importante porque reemplazar el programa malicioso no anula las credenciales que pueden haber sido copiadas.

Las organizaciones que investiguen una posible exposición deben identificar qué máquinas descargaron y ejecutaron los archivos afectados, preservar la evidencia disponible y revisar la actividad de la cuenta vinculada a las credenciales potencialmente expuestas. Su respuesta debe extenderse más allá de las credenciales de OVHcloud si otros secretos eran accesibles en esas máquinas. La advertencia de la empresa cubre los secretos locales en general, no solo sus propias claves de servicio.

Una campaña relacionada de robo de credenciales de GitHub llamada GhostAction muestra por qué el acceso al repositorio merece una atención cercana. Esa campaña utilizó cuentas robadas para introducir flujos de trabajo maliciosos bajo identidades confiables. Actualmente no hay pruebas que la vinculen con el incidente de OVHcloud. Para ti, si eres usuario de OVHcloud, las prioridades inmediatas siguen siendo reemplazar las descargas afectadas y renovar los secretos potencialmente expuestos mientras la empresa continúa su investigación del malware y publica más hallazgos técnicos.