OVHcloud опубликовала разбор атаки на свою утилиту командной строки для управления облаком. 19 октября злоумышленник через захваченный аккаунт разработчика заменил готовые файлы версий 0.11.0–0.15.0 на GitHub. Исходный код и процесс сборки, по данным компании, не пострадали. Подменённые файлы скачали около 250 раз — число заражённых компьютеров не установлено.

Атаку заметил пользователь, чья система сборки сверяла загрузку с заранее сохранённой контрольной суммой SHA-256 — цифровым отпечатком файла. Она перестала совпадать. Злоумышленник заменил и лежавший рядом список контрольных сумм, поэтому сверка двух одновременно скачанных файлов уже не разоблачала подмену. Проверка сведений внутри программы показала: под старым номером версии распространялась другая сборка, сделанная из более позднего кода с дополнительными изменениями.

В официальном отчёте OVHcloud связывает первоначальное заражение личного MacBook разработчика с расширением color-picker-universal, установленным ещё 20 октября 2025 года. Для октябрьской подмены использовали украденные ключи. Компания связывает обнаруженные признаки с GlassWorm; это вывод её расследования.

Вредоносная утилита собирала SSH-ключи, данные доступа к AWS, Google Cloud и Azure, настройки Kubernetes и Terraform, а также локальные данные редакторов и ИИ-помощников, включая Cursor и Claude. Риск распространялся на секреты компьютера, с которого управляли инфраструктурой, — не только на аккаунт OVHcloud.

Опасные загрузки были доступны 19 октября с 15:47 до 17:21 МСК. Компания удалила их, выпустила чистую версию 0.16.0 и включила запрет на изменение опубликованных релизов. Тем, кто скачал и запускал утилиту в этом окне, OVHcloud рекомендует заменить или отозвать секреты: переустановка программы уже скопированные ключи не обезвредит.