Kompromittierte GitHub Actions reaktivieren Mini-Shai-Hulud-Malware

Zwei beliebte GitHub-Actions-Repositories wurden zum zweiten Mal deaktiviert, nachdem sie letzte Woche wieder zugänglich wurden. Diese Entwicklung ereignete sich Monate, nachdem die Projekte ursprünglich während der Mini-Shai-Hulud-Kampagne im Mai 2026 kompromittiert worden waren. Die betroffenen Tools, die vom Benutzer actions-cool gepflegt werden, sind issues-helper und maintain-one-comment. Diese Hilfsprogramme werden in Softwareentwicklungs-Workflows häufig verwendet, um die Nachverfolgung von Issues und die Kommentarverwaltung zu automatisieren.

Beim Besuch der Repositories wird jetzt eine Meldung von GitHub-Mitarbeitern angezeigt, die besagt, dass der Zugriff aufgrund eines Verstoßes gegen die Nutzungsbedingungen der Plattform deaktiviert wurde. Vor dieser endgültigen Sperrung wurden die Repositories jedoch am 16. September 2026 kurzzeitig wieder geöffnet. Der Socket-Forscher Karlo Zanki bestätigte, dass die Release-Tags in diesem Zeitraum nicht bereinigt wurden. Sie verwiesen weiterhin auf den bösartigen Inhalt, der am 18. Mai 2026 eingefügt wurde. Folglich begann jeder Workflow, der eine der beiden Actions über ihren Versions-Tag referenzierte, bei der nächsten geplanten Ausführung wieder mit dem Herunterladen und Ausführen der Schadsoftware.

Die ursprüngliche Kompromittierung am 18. Mai zielte darauf ab, sensible Zugangsdaten aus CI/CD-Pipelines (Continuous Integration und Continuous Deployment) abzugreifen. Der bösartige Code leitete diese Daten an einen vom Angreifer kontrollierten Server weiter. Sicherheitsanalysten brachten diese Aktivität mit dem breiteren Mini-Shai-Hulud-Cluster in Verbindung und stellten Überschneidungen der Exfiltrationsdomain t.m-kosche[.]com mit anderen Vorfällen fest, bei denen npm-Pakete aus dem @antv-Ökosystem betroffen waren. Philipp Burckhardt, Leiter der Threat Intelligence bei Socket, hatte zuvor erklärt, dass dies auf eine einzelne koordinierte Aktivitätsgruppe und nicht auf getrennte, isolierte Vorfälle hindeute.

Die erneute Aktivierung dieser Repositories verdeutlicht eine kritische Schwachstelle in der Lieferkette. Der bösartige Code blieb in den betroffenen Codebasen eingebettet und benötigte keine Aktualisierungen oder neuen Konfigurationen, um wieder aktiv zu werden. Da viele Workflows diese Actions noch immer verwenden, entstanden durch die Offenlegung erhebliche Sicherheitsrisiken. Die meisten betroffenen Repositories führten die Schadsoftware wahrscheinlich innerhalb eines Tages nach der Wiedereröffnung aus, da die Actions normalerweise nach täglichen Zeitplänen oder beim Öffnen neuer Issues und Pull-Requests ausgeführt werden. Das bedeutet, dass die Bedrohungsakteure keine neuen Exploits oder Infrastrukturen bereitstellen mussten, um den Angriff zu reaktivieren.

Workflows, die diese Actions auf den vollständigen Commit-SHA einer vor dem 18. Mai 2026 veröffentlichten Version festlegen, bleiben davon unberührt. Entwicklern wird empfohlen, jede Referenz auf die betroffenen Actions zu finden und die Version v2.2.1 als kompromittiert zu behandeln. Die empfohlene Maßnahme besteht darin, die aktuellen Actions zu entfernen und sie an einen als sauber bekannten SHA zu binden, der vor dem Kompromittierungsdatum liegt. Darüber hinaus sollten Unternehmen alle offengelegten Secrets rotieren, den Workflow-Verlauf auf erfolgreiche Ausführungen nach Phasen mit Fehlern überprüfen und die Repository-Historie auf unerwartete Commits nach dem 16. September 2026 untersuchen.

Zanki betonte, dass die meisten Lieferkettenvorfälle neue Elemente beinhalten, wie etwa neu veröffentlichte bösartige Versionen oder gehackte Konten. Dieser Vorfall unterscheidet sich, da er auf einem veränderlichen Tag basiert, der kompromittiert, eingedämmt und dann ohne jegliche Änderung an der Workflow-Datei des Verbrauchers reaktiviert wurde. Die Bindung an einen SHA hebt die Abhängigkeit vom Zustand des Upstream-Repositories auf und stellt sicher, dass der Workflow selbst dann die geprüfte, saubere Version verwendet, wenn ein Repository böswillig wieder aktiviert oder aktualisiert wird. Für Website-Betreiber und IT-Teams, die gehostete Umgebungen verwalten, unterstreicht dies die Wichtigkeit, Abhängigkeiten von Drittanbietern zu überprüfen und unveränderliche Referenzen zu verwenden, um eine stille erneute Infektion zu verhindern.

Die AEU Group bietet AEU-I an und stellt sicherheitsorientierte IT-Infrastruktur und Beratung bereit, um Unternehmen dabei zu helfen, ihre digitalen Vermögenswerte gegen solche Lieferketten-Schwachstellen abzusichern.