OVHcloud CLI: Fünf Releases mit Malware kompromittiert

Angreifer haben am 19. Oktober fünf veröffentlichte Releases des OVHcloud Command-Line-Tools kompromittiert, indem sie einen GitHub-Account eines Contributors übernahmen und die Download-Archive durch schadsoftwarehaltige Versionen ersetzten. Laut The Hacker News wurde die Übernahme des Accounts nicht unmittelbar bemerkt — der Angreifer konnte so unter dem Namen eines legitimen Contributors Malware-belastete Pakete hochladen, ohne dass anfängliche Warnungen auffielen.

Die betroffenen fünf OVHcloud-CLI-Releases wurden auf GitHub veröffentlicht, die Downloads jedoch mit einem Secret-Stealer ersetzt. Das bedeutet, dass Nutzer, die diese Versionen in den Tagen nach dem 19. Oktober heruntergeladen haben, die manipulierten Binaries ausführten und damit ihre Zugangsdaten, API-Tokens oder andere sensible Informationen kompromittierten. OVHcloud betreibt ein großes Cloud-Infrastruktur-Geschäft in Europa und hat eine große Nutzerbasis im DACH-Raum — viele Administratoren und DevOps-Teams nutzen die CLI für tägliche Verwaltungsaufgaben.

Die Malware wurde so konfiguriert, dass sie Secrets aus Umgebungsvariablen, lokalen Konfigurationsdateien oder dem Speicher extrahiert. Ein Secret-Stealer dieser Art ist besonders gefährlich in Cloud-Umgebungen, da er direkt auf die Authentifizierungsmittel für Infrastruktur-Ressourcen zugreifen kann. Angreifer hätten damit unmittelbaren Zugang zu OVHcloud-Konten und den dort gehosteten Systemen erhalten können.

Warum für DACH relevant

OVHcloud ist ein europäischer Cloud-Provider mit starker Präsenz im DACH-Raum. Viele deutsche, österreichische und Schweizer Unternehmen — von KMUs bis zu großen Konzernen — nutzen OVHcloud für Infrastructure-as-a-Service oder gehostete Lösungen. Die CLI ist ein Standard-Werkzeug für Administratoren, besonders bei automatisierter Infrastruktur-Verwaltung und DevOps-Pipelines.

Ein Supply-Chain-Angriff auf die OVHcloud CLI trifft daher den DACH-Mittelstand direkt. Unternehmen, die zwischen dem 19. und dem Entdeckungszeitpunkt die kompromittierten Versionen installiert haben, müssen davon ausgehen, dass ihre API-Tokens und Cloud-Zugangsdaten potenziell in Angreifer-Hände gelangt sind. Besonders kritisch ist dies für Organisationen, die Secrets nicht rotiert haben oder die betroffenen Versionen noch immer im Einsatz haben.

Unter DSGVO-Aspekten muss geklärt werden, ob durch den Malware-Befall auf Kundendaten zugegriffen wurde. Ein Secret-Stealer, der auf AWS-Keys oder Datenbankzugänge zugreift, kann zu einem Datenschutzvorfall führen und muss unter Umständen gemeldet werden. Die Bundesbeauftragte für Datenschutz (BfD) und Landesdatenschutzbehörden prüfen Supply-Chain-Vorfälle dieser Größenordnung mit besonderer Aufmerksamkeit.

Heise Security zitiert in diesem Kontext einen Experten der Cyberagentur des Bundes, der betont, dass Sicherheitslücken und Kompromittierungen derzeit im Vorteil der Angreifer liegen. Die Zeit zwischen Entdeckung und Patch wird von Angreifern aggressiv genutzt — im Fall OVHcloud bedeutet das, dass jedes Unternehmen in der Zwischenzeit potenziell infiltriert wurde.

Was du jetzt tun solltest

Die unmittelbare Aktion ist klar: Prüfe, ob deine Infrastruktur-Teams zwischen dem 19. Oktober und heute die OVHcloud CLI aktualisiert haben. Wenn ja, ziehe ein Szenario in Betracht, bei dem API-Tokens und andere Secrets kompromittiert wurden. Das heißt konkret: Tokens rotieren, neue Credentials generieren, Log-Dateien auf verdächtige API-Aufrufe prüfen.

Für Unternehmen im DACH-Raum ist das ein Anlass, die generelle Supply-Chain-Sicherheit von Infrastruktur-Tools zu überdenken. CLI-Tools werden oft lokal installiert oder in CI/CD-Pipelines integriert — eine Kompromittierung an dieser Stelle ist besonders wertvoll für Angreifer, weil sie großflächig wirkt. Verifiziere künftig Checksums und Signaturen von heruntergeladenen Binaries, nutze Package-Manager statt direkter Download wo möglich, und überwache Secrets-Zugriffe aktiv.

Das Pentesting-Konzept in diesem Kontext ist relevant: Im Rahmen von KI-Pentesting und Vulnerability-Management sollten Organisations-eigene Tools regelmäßig überprüft werden — auch auf Supply-Chain-Risiken. Ein Szenario wie die OVHcloud-CLI-Kompromittierung lässt sich mit Sandbox-Tests und sicheren Harnesses minimieren, wenn die Infrastruktur vollständig inventarisiert und überwacht wird.

Quellen

• The Hacker News: Hackers Hijack Five OVHcloud CLI Releases to Distribute Secret-Stealing Malware
• The Hacker News: PHP2Shell Exploitation Hits Government Entity Amid Global Scanning and Signs of AI-Assisted Hacking
• Help Net Security: Week in review: PHP vulnerabilities patched, exploited Palo Alto GlobalProtect VPN flaw
• Heise Security: „Tal der Tränen": Warum Angreifer bei Sicherheitslücken derzeit im Vorteil sind