Tài khoản lập trình viên bị chiếm đoạt, OVHcloud CLI bị cài mã độc đánh cắp thông tin

OVHcloud, nhà cung cấp dịch vụ điện toán đám mây và lưu trữ web hàng đầu của Pháp, vừa xác nhận một sự cố chuỗi cung ứng phần mềm (supply chain) nghiêm trọng. Kẻ tấn công đã lợi dụng tài khoản GitHub của một lập trình viên nội bộ để cài cắm một tệp nhị phân (binary) có chức năng đánh cắp thông tin bí mật vào công cụ dòng lệnh chính thức (CLI) của hãng.

Sự việc diễn ra vào ngày 19/10 và được đánh giá là lời cảnh tỉnh lớn đối với các doanh nghiệp công nghệ đang phụ thuộc vào quy trình phát hành phần mềm tự động.

Khoảng thời gian vàng 94 phút

Minh họa về an ninh phần mềm mã nguồn mở và quy trình CI/CD

Theo chia sẻ của ông Octave Klaba, nhà sáng lập OVHcloud, trên mạng xã hội X: "Kẻ tấn công đã sử dụng tài khoản GitHub của một trong các lập trình viên và thêm vào một tệp nhị phân có nhiệm vụ trích xuất thông tin bí mật từ ổ đĩa. Chất lượng của tệp nhị phân này khá kém nhưng nó hoàn toàn có thể thực hiện được mục đích".

Phiên bản bị nhiễm độc xuất hiện lúc 14 giờ 47 phút (giờ Paris) và bị chặn lúc 16 giờ 21 phút, sau khi một khách hàng phát hiện và báo cáo sự bất thường. Như vậy, mã độc đã tồn tại công khai trong khoảng 94 phút – một khoảng thời gian đủ dài để nhiều người dùng tải về.

OVHcloud xác định các phiên bản v0.11.0 đến v0.15.0 đã bị xâm phạm. Phiên bản 0.10.0 và bản vá mới nhất 0.16.0 được xác nhận là an toàn.

Lỗ hổng đến từ tính năng "bất biến" chưa được bật

Điều đáng chú ý là quy trình CI/CD của OVHcloud không hề bị tấn công trực tiếp. Nguyên nhân gốc rễ nằm ở việc hãng chưa bật tùy chọn "release immutability" (tính bất biến của bản phát hành) trên GitHub.

"Do đó, một người dùng có quyền hạn phù hợp có thể trực tiếp chỉnh sửa các bản phát hành đã có trên GitHub mà không gặp bất kỳ kiểm tra nào từ phía CI/CD của chúng tôi", ông Klaba giải thích.

Tùy chọn này đã được bật lại sau sự cố. Đây là bài học quan trọng cho các đội ngũ DevOps tại Việt Nam: việc cấu hình đúng các chính sách bảo mật trên nền tảng lưu trữ mã nguồn quan trọng không kém gì việc viết code an toàn.

Theo tổ chức nghiên cứu OpenSourceMalware, kẻ tấn công đã tải tệp nhị phân đè lên các tệp gốc của những bản phát hành đã công bố. Chỉ các bản build cho những nền tảng phổ biến nhất bị thay thế, điều mà giới nghiên cứu cho rằng nhắm vào việc thu thập thông tin đăng nhập trên máy trạm của lập trình viên và nhân viên vận hành.

Dấu vết của GlassWorm

Chân dung Eduard Kovacs, tác giả bài báo gốc trên SecurityWeek

Tài khoản GitHub bị chiếm đoạt thuộc về một cộng tác viên hợp pháp của OVHcloud. Theo các nhà nghiên cứu, tài khoản này đã bị xâm nhập ít nhất từ tháng 3, khi bốn kho lưu trữ cá nhân của người này bị viết lại, trong đó ba kho chứa một bộ tải ẩn (loader).

Giai đoạn tiếp theo của loader truy vấn blockchain Solana để tìm vị trí của một payload tiếp theo, sử dụng một ví được coi là chỉ dấu (indicator) đã biết của GlassWorm – một chiến dịch mã độc đang được giới bảo mật theo dõi.

Tuy nhiên, nhóm nghiên cứu chưa thể xác nhận chính xác cùng một đối tượng đứng sau cả vụ xâm nhập tháng 3 lẫn vụ tấn công tháng 10. "Việc cùng một đối tượng thực hiện cả hai là suy luận của chúng tôi", họ cho biết. Về phía OVHcloud, hãng chưa đề cập đến GlassWorm trong bất kỳ tuyên bố nào.

Đáng tiếc là OpenSourceMalware không kịp thu thập mẫu payload để phân tích trước khi OVHcloud xóa các tệp độc hại.

Ai bị ảnh hưởng và cách xử lý?

Người dùng đã cài đặt hoặc cập nhật CLI trên macOS, Linux 64-bit hoặc Windows x86_64 thông qua script cài đặt chính thức, Homebrew hoặc tải trực tiếp từ GitHub trong khoảng thời gian trên đều nằm trong diện bị ảnh hưởng.

Ngược lại, những ai build từ mã nguồn, dùng lệnh install của Go hoặc tải image Docker chính thức thì không gặp rủi ro.

Với bối cảnh các doanh nghiệp Việt Nam ngày càng sử dụng nhiều công cụ CLI của các nhà cung cấp cloud nước ngoài để tự động hóa hạ tầng, sự cố này là lời nhắc nhở về tầm quan trọng của việc:

• Kiểm tra mã băm (hash) của các tệp tải về so với bản công bố chính thức
• Ghim (pin) phiên bản công cụ đã được kiểm chứng thay vì luôn dùng bản mới nhất
• Theo dõi các kênh cảnh báo bảo mật của nhà cung cấp dịch vụ

Logo SecurityWeek

Các chuyên gia khuyến nghị người dùng OVHcloud đã cài đặt CLI trong khung giờ trên nên gỡ bỏ ngay, quét toàn bộ máy trạm để tìm dấu hiệu xâm nhập, và xoay vòng (rotate) toàn bộ thông tin đăng nhập, khóa API có thể đã bị lộ trong thời gian đó.