GitHub Actions re-enabled with Mini Shai-Hulud payload still active
BleepingComputer · 26 sept, 16:19
Qué hacer: Elimina referencias a ambas acciones o fija un commit verificado y limpio, revisa las ejecuciones desde el 16 de septiembre y rota los secretos accesibles a los flujos de trabajo afectados.
Dos acciones de GitHub comprometidas en la campaña Mini Shai-Hulud de mayo fueron reactivadas por su mantenedor el 16 de septiembre con el código malicioso aún presente, permaneciendo accesibles durante más de una semana. Los flujos de trabajo que referenciaban estas acciones descargaron y ejecutaron el payload antiguo diseñado para robar tokens de desarrolladores, credenciales y secretos de CI/CD.
La campaña Mini Shai-Hulud de mayo afectó a 323 paquetes y 639 versiones en npm. Los investigadores de Socket descubrieron que los repositorios actions-cool/issues-helper y actions-cool/maintain-one-comment se reactivaron el 16 de septiembre sin que se limpiaran primero, permitiendo que sus etiquetas de release siguieran apuntando al commit que contenía el payload ofuscado en el archivo 'index.js'. El gráfico de dependencias de GitHub lista aproximadamente 15.000 repositorios dependiendo de 'issues-helper', aunque no todos ellos fueron necesariamente comprometidos. Los investigadores aún no han establecido cuántos dependents referencian las acciones por etiqueta mutable en lugar de commit fijo, pero señalan que las acciones impactadas son aquellas que se ejecutan casi diariamente para mantenimiento de issues.
La exposición comenzó el 16 de septiembre entre las 11:09 y 18:16 GMT+2. El 25 de septiembre, Socket encontró que ambas acciones fueron desactivadas nuevamente en GitHub. Socket recomienda encontrar referencias a ambas acciones, removerlas o fijar un commit verificado y limpio, revisar las ejecuciones desde el 16 de septiembre, y rotar los secretos accesibles a los flujos de trabajo que ejecutaron las etiquetas afectadas.
Puntos clave
- Dos acciones de GitHub (issues-helper y maintain-one-comment) reactivadas con payload malicioso del 18 de mayo
- Aproximadamente 15.000 repositorios dependían de issues-helper según el gráfico de dependencias
- Exposición activa desde el 16 de septiembre hasta el 25 de septiembre de 2026
- Payload roba tokens de desarrolladores, credenciales y secretos de CI/CD
- Recomendar remover referencias o fijar commits verificados y limpios, y rotar secretos
Figuras de la fuente
