Подмена CLI OVHcloud: как проверить бинарник и не попасться
В ленте зацепился за историю с подменой официального CLI OVHcloud — в релизах с v0.11.0 по v0.15.0 заменили бинарники, включая сборки для macOS, Linux и Windows, но не для i386 и WASM. Подменили не всё, но хеши в checksums.txt совпали — и это обмануло автоматические проверки. Вредоносный код, похоже, был вшит локально, с пометкой vcs.modified=true, и встроил тайник в блокчейн Solana. Проверить бинарник можно через go version -m, не запуская. Спасли только те, у кого в CI был прописан хеш — и кто не использовал install.sh без проверки.
Прочитал у Хабра, что в октябре в официальном CLI OVHcloud подменили бинарники в пяти релизах — с v0.11.0 по v0.15.0. Заменили сборки для основных платформ, но не для редких. Хеши в checksums.txt были обновлены вместе с файлами — проверка по ним не сработала. Вредоносный код, судя по меткам, был вшит в бинарник локально: go build с vcs.modified=true. Скрипт не запускался, если его запускать — это и был запуск вредоноса. Тайник был в Solana: загрузчик читал memo в транзакциях кошелька, и адрес следующей стадии менялся одной транзакцией. Никто не смог подтвердить, кто именно управлял аккаунтом, но он был скомпрометирован ещё в марте.
Считаю, что самое опасное здесь — не сам вредонос, а то, как он попал. Это не уязвимость в коде, а утечка доступа к репозиторию. Кто-то получил права на запись, и это позволило перезалить бинарники без проверок. Такие атаки не требуют сложных эксплойтов — достаточно одного утечного аккаунта. И это не исключение: такие риски есть у всех, кто использует CI/CD с доступом к релизам. На мой взгляд, главная угроза — не в самой уязвимости, а в отсутствии контроля за доступом к сборкам.
У себя уже начал проверять все свои релизы: проверяю, кто имеет права на запись в репозитории, и уточняю, как проверяются сборки. У клиентов, кто использует автоматические установки, включаю проверку хешей в CI. Пока не вижу смысла срочно обновлять — версии уже удалены, но в будущем прописываю хеши в любом автоматическом процессе. Главное — не доверять ни одному файлу, даже если он с официального сайта, если нет проверки.