Как в официальный CLI OVHcloud подложили стилер и почему спас только прописанный хеш
19 октября в пяти уже выпущенных релизах официального CLI OVHcloud полтора часа лежал стилер вместо настоящих бинарников. Хеши на странице релиза подменили вместе с архивами, install.sh их не проверяет вовсе. Поймал атаку клиент, у которого в CI был жёстко прописан SHA-256, а пользователей Homebrew защитил хеш в cask. Я прошёл по следам сам: аккаунт, через который залили файлы, угнали ещё в марте, загрузчик в его репозиториях спрятан в 9123 невидимых символах Unicode, а адрес следующей стадии он берёт из memo в блокчейне Solana. Там же нашлась чужая запись «I know you» — и уязвимость самого тайника.
https://habr.com/ru/articles/1096502/
#go #sha256 #github_releases #solana #стилер #supply_chain #ovhcloud #glassworm