Zwei GitHub Aktionen - cool im Mai begangen und im September wieder aktiviert

Zwei öffentliche Aktionen von GitHub Aktionen des Aktions-cool-Projekts - Aktionen-cool / Probleme-Hilfe und Aktionen-Kühlen / Wartung-Einzel-Kommentar- wurden am 16. September 2026 reaktiviert und danach hat GitHub sie wiederverwendet. Es wird bestätigt, dass diese Aktionen am 18. Mai 2026 begangen worden waren, um schädlichen Code auszuführen, um Anmeldeinformationen aus den CI / CD-Kanälen zu extrahieren, die sie aufgerufen haben und diese Daten an einen von den Angreifern kontrollierten Server zu senden; die Aktivität war öffentlich mit dem Bedrohungscluster namens Mini Shai-Hulud verbunden. Laut der von der Firma Socket veröffentlichten Forschung und den Aussagen seines Teams wurden die Tags, die auf den schädlichen Code hinweisten, nie entfernt, so dass die einzige Bedingung, die erforderlich war, um die Bedrohung wieder zu aktivieren, für die Repositories öffentlich zugänglich zu sein.

Technisch braucht der hier ausgenutzte Vektor keine neue Freigabe oder einen Kompromiß eines anderen Kontos zu veröffentlichen: Viele GitHub Actions-Workflows beziehen sich auf diese Aktionen durch mutierbare Referenzen (z.B. Tags wie @ v2.2.1). Als im Mai ein mutierbarer Tag auf einen Commit gerichtet wurde, der eine Nutzlast injizierte - in der Lage, Geheimnisse der Umgebung oder Kontext des Läufers zu lesen und auszufiltern - jeden Workflow, der diesen Tag herunterlädt und diesen Inhalt in der Laufzeit ausführt. Socket hat auch darauf hingewiesen, dass die Exfiltration eine zuvor beobachtete Domäne im Ökosystemfall @ antv (t.m-kosche [.] com) wiederverwendet hat, die beide Kampagnen mit Mini Shai-Hulud korrelieren ließ. Diese Wiederverwendung der Infrastruktur ist ein nützlicher technischer Indikator für die Zuschreibung und war ein wesentlicher Faktor für die Identifizierung der Verbindung zwischen Npm-Paketverpflichtungen und Aktienmissbrauch in GitHub.

Betroffen sind zunächst die Inhaber und Nutzer von Repositorien, die diese Aktionen einbinden, ohne sie vor dem 18. Mai auf eine bestimmte SHA-Kommission zu setzen. In der Praxis umfasst dies Projekte, die Probleme Schließung, Wartung von Bot-Kommentaren oder regelmäßige Überprüfungen automatisieren, da solche Workflows oft ausgeführt werden (z.B. auf: Zeitplan oder auf: Probleme / Pull _ Anfrage). Socket schätzt, dass die meisten der von diesen Aktionen abhängigen Repositorys die Nutzlast innerhalb eines Tages der Reaktivierung ausführen konnten, wenn das übliche Ausführungsmuster vorliegt, obwohl dieser Punkt eine Projektion ist, die darauf basiert, wie diese Workflows typischerweise konfiguriert sind und nicht die Überprüfung jedes einzelnen Repositorys.

Die wichtigen technischen Konsequenzen sind mehrere und konkrete: die Exposition von Token und Geheimnissen, die als Umgebungsvariablen in Aktionsausführungen gespeichert sind, kann es einem Angreifer ermöglichen, Privilegien zu skalieren, auf andere Repositorien zuzugreifen, schädliche Pakete in Aufzeichnungen mit gestohlenen Anmeldeinformationen zu veröffentlichen oder Pipelines zu manipulieren. Darüber hinaus multipliziert die stille Ausführung der Nutzlast in mehreren Projekten das Risiko, ohne dass neue Sicherheitslücken oder zusätzliche Infrastrukturen vom Angreifer benötigt werden - es genügt, dass der schädliche Code unter der Referenz, dass Workflows verbrauchen, verfügbar bleibt.

bestätigte Tatsachen: die anfänglichen Verpflichtungen vom 18. Mai 2026, die Reaktivierung des Zugangs zwischen 11: 09 und 18: 16 (GMT + 2) vom 16. September 2026, die Beobachtung von Etiketten, die weiterhin auf bösartige Inhalte, die Identifizierung der Exfiltrationsdomäne und die anschließende Intervention von GitHub, um die Repos zu deaktivieren. Angemessene Schätzungen: die Geschwindigkeit, mit der die meisten betroffenen Repositories die Nutzlast nach der Reaktivierung ausführen konnten, basierend auf typischen Ausführungsmustern. Noch unsichere Informationen: die Hauptursache, warum GitHub im September wieder Zugang zu diesen Repositorien erlaubte und ob es eine menschliche Intervention gab, einen automatisierten Fehler oder ein Verwaltungsverfahren, das die vorherige Aussetzung umkehrte.

Was ein Entwicklungsteam oder Repository Manager jetzt tun sollte: finden Sie alle Hinweise auf die beiden betroffenen Aktionen und behandeln Sie die Referenz action-cool / probleme-helper @ v2.2.1 als engagiert; beseitigen diese Abhängigkeit oder ersetzen sie durch eine bekannte und saubere SHA-Kommission, die vor dem 18. Mai 2026 ist; sofort drehen Sie alle Geheimnisse und Token, die in Ausführungen, die diese Aktionen verwendet haben, zur Verfügung stehen; überprüfen Sie die Geschichte der Workflow-Ausführungen, um erfolgreiche Durchführungen nach der Reaktivierung oder für ungewöhnlich kurze Zeiträume zu erkennen, in denen die Arbeitsplätze zuvor gescheitert waren; und überprüfen Sie die Geschichte des Projektarchivs auf der Suche nach unerwarteten Verpflichtungen nach dem 16. September 2026. Diese Empfehlungen entsprechen den Minderungspraktiken gegen Lieferkettenrisiken und den öffentlichen Warnungen von Forschern; GitHub hält einen Leitfaden für die Sicherheitshärtung für Aktionen, die die Empfehlung enthalten, unmutbare Referenzen (SHA) zu verwenden, um genau diese Art von Reaktivierungen zu vermeiden: https: / / docs.github.com / en / Aktionen / Security-guides / Security-hardening-for-github-actions.

Spezifische und vorrangige technische Maßnahmen: alle Aktieneinheiten an Ihre komplette SHA-Kommission (nicht an mutierbare Tags) anknüpfen, freigestellte Geheimnisse (persönliche Token, Repository oder Organisationsgeheimnisse) invalidieren und rotieren und die den Token zugewiesenen Genehmigungen überprüfen, um das Prinzip des kleinen Privilegs anzuwenden. Darüber hinaus ist es angebracht, organisatorische Kontrollen wie die manuelle Überprüfung externer Maßnahmen zu ermöglichen, nur vom Markt geprüfte Maßnahmen zuzulassen oder die Durchführung von Maßnahmen auf selbstgehostete Läufer mit strengeren Sicherheitspolitiken einzuschränken. Um den Ruf und die Geschichte einer Aktion zu überprüfen, können sich Teams auf externe Analyse- und Unit-Detektionstools verlassen - Socket ist einer der Firmen, die Informationen über diese Kampagne veröffentlicht hat und technische Informationen über die Forschung auf seiner Website aufrecht erhält: https: //sockel.dev /.

Interpretation: Dieser Vorfall betont, dass die Sicherheit der Lieferkette nicht nur darauf angewiesen ist, neue schädliche Veröffentlichungen zu verhindern; es erfordert auch die Überwachung, wie sie sich auf Abhängigkeiten beziehen und aufrufen. Ein kompromittiertes, mutierbares Etikett kann enthalten und dann unbeabsichtigt reaktiviert werden, ohne dass der Verbraucher seinen eigenen Workflow ändert, was die Praxis des Anklemmens an SHA nicht mehr eine theoretische Empfehlung zu einer betrieblichen Notwendigkeit macht.

Was noch geklärt werden muss: GitHub hat nicht veröffentlicht, warum der Zugriff auf diese Repositories wiederhergestellt wurde und ob es Maßnahmen treffen wird, um die von ihnen abhängigen Repositories proaktiv zu benachrichtigen. Organisationen sollten davon ausgehen, dass Ungewissheiten bestehen und handeln, als ob jede von mutablen und potenziell betroffenen Tags bezeichnete Handlung unsicher war, bis sie durch interne Audits anderweitig nachgewiesen wurden. Der Fehler in dieser Angelegenheit ist nicht darauf zu warten, dass GitHub eine Erklärung ausgibt, sondern nicht die Integrität der Einheiten selbst zu überprüfen und nicht einen schnellen Antwortprozess für die Rotation von Anmeldeinformationen und die Abhilfe von Pipelines zu haben.