Tin tặc chiếm quyền GitHub của OVHcloud để phát tán mã độc đánh cắp thông tin

• Sự cố chuỗi cung ứng: Tin tặc đã chiếm quyền kiểm soát tài khoản GitHub của một nhà phát triển OVHcloud để phát tán mã độc thông qua các bản phát hành CLI chính thức.
• Phạm vi ảnh hưởng: Các phiên bản bị ảnh hưởng bao gồm v0.11.0 đến v0.15.0, với mục tiêu chính là đánh cắp các thông tin xác thực (secrets) lưu trữ cục bộ trên máy tính người dùng.
• Phản ứng nhanh: OVHcloud đã phát hiện và chặn các tệp tin độc hại trong vòng 94 phút sau khi nhận được báo cáo từ khách hàng.
• Khuyến nghị khẩn cấp: Người dùng cần cập nhật ngay lên phiên bản v0.16.0 và thực hiện xoay vòng (rotate) toàn bộ các thông tin xác thực đã lưu trữ trên máy.

Vào ngày 19 tháng 10 năm 2026, một chiến dịch tấn công chuỗi cung ứng (supply chain attack) nghiêm trọng đã nhắm vào hệ sinh thái phát triển của OVHcloud. Tin tặc đã thành công trong việc xâm nhập vào tài khoản GitHub của một nhà phát triển, từ đó chèn các tệp tin nhị phân độc hại vào quy trình phát hành công cụ dòng lệnh (CLI) chính thức của hãng. Sự cố này đặt ra hồi chuông cảnh báo về rủi ro khi các kênh phân phối phần mềm tin cậy bị lợi dụng để phát tán mã độc.

Phân tích kỹ thuật về chiến dịch tấn công

Theo thông tin từ CEO Octave Klaba, các tệp tin độc hại đã xuất hiện trên kho lưu trữ GitHub vào lúc 14:47 và bị phát hiện, vô hiệu hóa vào lúc 16:21 cùng ngày. Kẻ tấn công đã sử dụng một tài khoản nhà phát triển hợp lệ để thay thế các tệp tin phát hành bằng một phiên bản "dirty build" (bản dựng không sạch) của các commit sau đó. Điều này cho phép mã độc được phân phối trực tiếp từ nguồn tin cậy, khiến người dùng không mảy may nghi ngờ khi tải xuống và thực thi.

Cơ chế hoạt động của mã độc

Mặc dù OVHcloud chưa công bố chi tiết mã nguồn của mã độc, các phân tích ban đầu cho thấy chương trình này được thiết kế với mục đích chính là thu thập các thông tin xác thực (secrets) từ ổ đĩa cục bộ của người dùng. Công cụ CLI của OVHcloud thường quản lý các tài nguyên đám mây và quy trình tự động hóa, do đó nó thường xuyên truy cập vào các tệp tin cấu hình nhạy cảm.

Các vị trí lưu trữ thông tin xác thực mà mã độc có khả năng nhắm tới bao gồm tệp tin .ovh.conf cục bộ, các biến môi trường (environment variables) chứa application keys, application secrets và consumer keys. Việc chiếm quyền điều khiển công cụ quản trị này cho phép kẻ tấn công thực hiện các hành vi leo thang đặc quyền hoặc di chuyển ngang (lateral movement) trong hạ tầng đám mây của nạn nhân.

Hướng dẫn ứng phó và giảm thiểu rủi ro

Đối với các tổ chức và cá nhân đã tải xuống công cụ CLI trong khoảng thời gian xảy ra sự cố, việc thực hiện các bước khắc phục là bắt buộc để đảm bảo an toàn thông tin. Việc chỉ xóa bỏ tệp tin độc hại là không đủ, vì các thông tin xác thực có thể đã bị đánh cắp trước đó.

• Bước 1: Cập nhật phần mềm: Gỡ bỏ hoàn toàn phiên bản CLI cũ và cài đặt phiên bản v0.16.0 từ kho lưu trữ chính thức của OVHcloud.
• Bước 2: Xoay vòng thông tin xác thực (Credential Rotation): Thay đổi ngay lập tức tất cả các API keys, mật khẩu và các thông tin xác thực đã được lưu trữ trên các máy trạm từng chạy CLI bị nhiễm.
• Bước 3: Rà soát hoạt động tài khoản: Kiểm tra nhật ký truy cập (audit logs) của các tài khoản đám mây để phát hiện các hành vi bất thường hoặc các phiên đăng nhập trái phép.

⚠️ Cảnh báo quan trọng: Việc thay thế chương trình độc hại không đồng nghĩa với việc thu hồi các thông tin đã bị lộ. Mọi thông tin xác thực từng tồn tại trên máy tính bị ảnh hưởng phải được coi là đã bị xâm phạm và cần được thay thế ngay lập tức.

Sự cố này một lần nữa khẳng định tầm quan trọng của việc bảo mật tài khoản nhà phát triển và thiết lập các kênh báo cáo lỗ hổng bảo mật riêng tư. Việc thiếu một kênh báo cáo bảo mật chính thức đã khiến khách hàng phải công khai vấn đề trên GitHub, vô tình làm lộ thông tin về lỗ hổng trước khi nó được xử lý triệt để. Các tổ chức cần chú trọng hơn vào việc áp dụng mô hình Zero Trust và kiểm soát chặt chẽ quyền truy cập vào các kho lưu trữ mã nguồn (repository) để ngăn chặn các cuộc tấn công chuỗi cung ứng tương tự trong tương lai.