Duas actions do GitHub Actions mantidas pelo usuário actions-cool foram desativadas pela segunda vez. Os repositórios voltaram a ficar acessíveis na semana passada, meses depois de terem sido comprometidos durante a campanha Mini Shai-Hulud, em maio de 2026.
As actions afetadas são:
- actions-cool/issues-helper
- actions-cool/maintain-one-comment
Ao acessar qualquer um dos repositórios, é exibida a mensagem: “O acesso a este repositório foi desativado pela equipe do GitHub devido a uma violação dos termos de serviço. Se você é o proprietário do repositório, entre em contato com o suporte do GitHub para obter mais informações.”
“Em 16 de setembro de 2026, os dois repositórios voltaram a ficar acessíveis”, afirmou Karlo Zanki, pesquisador da Socket. “As etiquetas de lançamento não foram limpas antes disso. Elas ainda apontam para o conteúdo malicioso introduzido em 18 de maio. Assim, qualquer fluxo de trabalho que faça referência a uma dessas actions por uma etiqueta de versão voltou a baixar e executar o payload na execução seguinte.”
Os fluxos de trabalho das duas actions foram comprometidos originalmente em 18 de maio de 2026. O código malicioso coletava credenciais confidenciais dos pipelines de CI/CD que o executavam e enviava os dados a um servidor controlado por um invasor.
A atividade foi posteriormente associada ao cluster Mini Shai-Hulud. A ligação foi estabelecida com base em semelhanças entre o domínio usado para o envio dos dados, “t.m-kosche[.]com”, nos fluxos de trabalho do GitHub Actions e nos pacotes npm do ecossistema @antv.
Philipp Burckhardt, chefe de inteligência contra ameaças da Socket, afirmou na ocasião: “Isso aponta para o mesmo cluster de atividades Mini Shai-Hulud, e não para um incidente isolado, restrito ao npm.”
Os repositórios foram reativados em 16 de setembro de 2026, em algum momento entre 11h09 e 18h16, no fuso GMT+2. Ainda não se sabe por que isso aconteceu.
O episódio também expõe outro problema: o código malicioso permaneceu nos repositórios afetados e nunca foi removido. Para reativar a ameaça, bastou que os repositórios voltassem a permitir downloads.
Como vários fluxos de trabalho ainda usam as duas actions, a exposição poderia ter criado riscos graves para a segurança da supply chain de software, sem que os invasores precisassem recorrer a um novo exploit ou montar uma nova infraestrutura.
“A maioria dessas actions automatiza tarefas de manutenção de problemas e comentários, como encerrar problemas inativos, verificar novos problemas ou manter atualizado um único comentário publicado por um robô”, informou a Socket.
“Os fluxos de trabalho que as utilizam costumam ser executados diariamente ou sempre que alguém abre um problema ou um pull request. Na prática, é provável que a maioria dos repositórios afetados tenha executado o payload em até um dia após a reativação, sem que os invasores precisassem fazer mais nada.”
O problema não afeta fluxos de trabalho que fixam cada action ao SHA completo de um commit anterior a 18 de maio de 2026. A Socket recomenda que os desenvolvedores adotem as seguintes medidas:
- Localizar todas as referências às actions afetadas e considerar `actions-cool/[email protected]` comprometida.
- Remover as actions e fixá-las em um SHA comprovadamente seguro, anterior a 18 de maio de 2026.
- Alterar todos os segredos que possam ter sido expostos.
- Revisar o histórico de execuções dos fluxos de trabalho e verificar se houve novas execuções bem-sucedidas após um período prolongado de falhas na etapa de configuração do job.
- Auditar o histórico do repositório em busca de alterações inesperadas após 16 de setembro de 2026.
“A maioria dos incidentes de supply chain envolve algo novo: uma versão maliciosa recém-publicada, uma conta recém-sequestrada ou um fluxo de trabalho recém-injetado”, disse Zanki. “Este caso foi diferente. Nenhum código novo foi publicado e nenhuma configuração foi alterada.”
“O incidente mostra que uma etiqueta mutável pode ser comprometida, contida e depois reativada sem qualquer alteração no arquivo do próprio fluxo de trabalho. Fixar a action pelo SHA elimina essa dependência do estado do repositório de origem.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...