フランスのクラウド事業者OVHcloudが公開しているコマンドラインツール（CLI）の配布ファイルが、攻撃者によって不正に差し替えられていたことがわかりました。The Hacker Newsによると、攻撃者は開発に関わる人物のGitHubアカウントを乗っ取り、10月19日（月）に、すでに公開されていた5つのリリースのダウンロード用アーカイブを入れ替えたとされています。
差し替えられたファイルは、実行したパソコンのディスクに保存されている秘密情報を盗み出すように作られていたと報告されています。秘密情報とは、パスワード、APIキー（外部サービスを操作するための合言葉のようなもの）、アクセストークンなどのことです。クラウドを操作するツールを使う人のパソコンには、こうした情報が置かれていることが多く、狙われやすい部分です。
今回のように、多くの人が信頼して使う正規の配布元を経由してマルウェアを広める手口は「サプライチェーン攻撃」と呼ばれます。公式サイトや公式のリリースページから入手したものでも、安全とは限らないという点が厄介です。ソフトウェアのセキュリティホールを突くのではなく、配布の仕組みそのものを乗っ取る点が特徴です。
OVHcloudのCLIを使っている方は、10月19日前後に該当ツールをダウンロードまたは更新していないかを確認してください。心当たりがある場合は、そのパソコンに保存していたAPIキーやパスワードを速やかに無効化して再発行し、公式の案内に沿って安全なバージョンに入れ替えることが重要です。あわせて、GitHubなど開発用アカウントには多要素認証を設定し、乗っ取りを防ぐことも大切です。
出典: The Hacker News「Hackers Hijack Five OVHcloud CLI Releases to Distribute Secret-Stealing Malware」