Compromised GitHub Actions Came Back Online and Resumed Executing Mini Shai-Hulud Malware
The Hacker News · 25 sept, 16:44
Dos acciones de GitHub comprometidas durante la campaña Mini Shai-Hulud en mayo de 2026 volvieron a estar disponibles en septiembre sin que el código malicioso fuera eliminado, reanudando la ejecución automática de malware en flujos de trabajo que las referenciaban. Los repositorios fueron reactivados accidentalmente el 16 de septiembre entre las 11:09 a.m. y las 6:16 p.m. GMT+2, permitiendo que cualquier workflow que usara estas acciones descargara nuevamente la carga maliciosa en su próxima ejecución programada, sin que el atacante tuviera que hacer nada.
Las acciones comprometidas son «actions-cool/issues-helper» (versión 2.2.1) y otra sin especificar, ambas originalmente infectadas el 18 de mayo de 2026 para robar credenciales sensibles de los pipelines CI/CD y exfiltrar los datos a servidores controlados por atacantes. El análisis reveló superposiciones con la campaña Mini Shai-Hulud, que también afectó paquetes npm del ecosistema @antv, usando el dominio de exfiltración «t.m-kosche[.]com».
Los repositorios fueron deshabilitados inicialmente por GitHub, pero se reactivaron el 16 de septiembre sin que el código malicioso fuera limpiado de las ramas de versión. Como el tag de versión v2.2.1 seguía apuntando al contenido malicioso del 18 de mayo, cualquier workflow que referenciara la acción por etiqueta de versión reanudó la descarga y ejecución automática del payload. La mayoría de flujos de trabajo afectados ejecutaban estas acciones diariamente o con cada pull request, lo que significa que la carga maliciosa probablemente se ejecutó dentro de un día de la reactivación sin intervención del atacante.
Puntos clave
- Dos GitHub Actions comprometidas en mayo de 2026 se reactivaron el 16 de septiembre sin limpieza de código malicioso
- Cualquier referencia a «actions-cool/issues-helper@v2.2.1» está afectada; usar SHA completo anterior a mayo de 2026 mitiga el riesgo
- Robo de credenciales CI/CD exfiltradas a «t.m-kosche[.]com», vinculado a la campaña Mini Shai-Hulud
- Revisar historial de ejecuciones de workflow después del 16 de septiembre y auditar repositorio para commits inesperados
- Rotación inmediata de secretos y credenciales potencialmente comprometidas
Figuras de la fuente
