Le GitHub Actions compromesse riattivano il malware Mini Shai-Hulud

Due popolari repository di GitHub Actions sono stati disabilitati per la seconda volta dopo essere diventati nuovamente accessibili la scorsa settimana. Questo sviluppo è avvenuto mesi dopo che i progetti erano stati inizialmente compromessi durante la campagna Mini Shai-Hulud nel maggio 2026. Gli strumenti interessati, mantenuti dall'utente actions-cool, sono issues-helper e maintain-one-comment. Queste utility sono ampiamente utilizzate nei flussi di lavoro di sviluppo software per automatizzare il tracciamento dei problemi e la gestione dei commenti.

Visitando i repository ora appare un messaggio dello Staff di GitHub che indica che l'accesso è stato disabilitato a causa di una violazione dei termini di servizio della piattaforma. Tuttavia, prima di questo blocco definitivo, i repository sono stati brevemente riaperti il 16 settembre 2026. Il ricercatore di Socket Karlo Zanki ha confermato che durante questa finestra, i tag di rilascio non sono stati ripuliti. Continuavano a puntare al contenuto malevolo introdotto il 18 maggio 2026. Di conseguenza, qualsiasi flusso di lavoro che facesse riferimento a una delle action tramite il suo tag di versione riprendeva a scaricare ed eseguire il payload alla successiva esecuzione programmata.

La compromissione originale del 18 maggio era progettata per raccogliere credenziali sensibili dalle pipeline di Continuous Integration e Continuous Deployment (CI/CD). Il codice malevolo esfiltrava queste informazioni verso un server controllato dall'attaccante. Gli analisti di sicurezza hanno collegato questa attività al più ampio cluster Mini Shai-Hulud, notando sovrapposizioni nel dominio di esfiltrazione t.m-kosche[.]com con altri incidenti che coinvolgevano pacchetti npm dell'ecosistema @antv. Philipp Burckhardt, responsabile dell'intelligence sulle minacce di Socket, aveva precedentemente dichiarato che ciò indicava un unico cluster di attività coordinato piuttosto che incidenti separati e isolati.

La riabilitazione di questi repository evidenzia una critica vulnerabilità della supply chain. Il codice malevolo è rimasto incorporato nei codebase interessati e non ha richiesto aggiornamenti o nuove configurazioni per diventare di nuovo attivo. Poiché molti flussi di lavoro fanno ancora riferimento a queste action, l'esposizione ha creato gravi rischi per la sicurezza. La maggior parte dei repository interessati ha probabilmente eseguito il payload entro un giorno dalla riabilitazione, dato che le action vengono tipicamente eseguite con pianificazioni giornaliere o quando vengono aperti nuovi issue e pull request. Ciò significa che gli attori della minaccia non hanno avuto bisogno di distribuire nuovi exploit o infrastrutture per riattivare l'attacco.

I flussi di lavoro che fissano queste action al commit SHA completo di una versione rilasciata prima del 18 maggio 2026 rimangono inalterati. Si consiglia agli sviluppatori di individuare ogni riferimento alle action interessate e di considerare compromessa la versione v2.2.1. La mitigazione raccomandata consiste nel rimuovere le action correnti e fissarle a uno SHA noto e pulito che precede la data della compromissione. Inoltre, le organizzazioni dovrebbero ruotare tutti i segreti esposti, esaminare lo storico dei flussi di lavoro per individuare esecuzioni riuscite dopo periodi di fallimento e controllare lo storico del repository per commit imprevisti dopo il 16 settembre 2026.

Zanki ha sottolineato che la maggior parte degli incidenti di supply chain coinvolge nuovi elementi, come versioni malevole appena pubblicate o account compromessi. Questo incidente è diverso perché si basa su un tag mutabile che è stato compromesso, contenuto e poi riattivato senza alcuna modifica al file di flusso di lavoro del consumatore. Il fissaggio allo SHA elimina la dipendenza dallo stato del repository upstream, assicurando che anche se un repository viene riabilitato o aggiornato in modo malevolo, il flusso di lavoro continui a utilizzare la versione verificata e pulita. Per i proprietari di siti web e i team IT che gestiscono ambienti ospitati, questo sottolinea l'importanza di verificare le dipendenze di terze parti e utilizzare riferimenti immutabili per prevenire una ri-infezione silenziosa.

AEU Group offre AEU-I, fornendo infrastrutture IT e consulenza orientate alla sicurezza per aiutare le aziende a proteggere i propri asset digitali da tali vulnerabilità della supply chain.