Compromised GitHub Actions Came Back Online and Resumed Executing Mini Shai-Hulud Malware
Mis à jour :
Réactivation involontaire du malware « Mini Shai-Hulud » via GitHub Actions
Les dépôts GitHub actions-cool/issues-helper et actions-cool/maintain-one-comment, compromis lors de la campagne « Mini Shai-Hulud » en mai 2026, ont été brièvement réactivés le 16 septembre 2026. Cette remise en ligne sans nettoyage préalable des tags malveillants a entraîné l’exécution automatique du code compromis dans tous les pipelines CI/CD utilisant ces actions.
Points clés :
- Persistance de la menace : Le code malveillant n’avait pas été supprimé lors de la première intervention. La simple réactivation des dépôts a suffi à relancer l’infection.
- Mécanisme d’attaque : Le malware exfiltrait des identifiants sensibles depuis les environnements CI/CD vers un serveur contrôlé par les attaquants (domaine
t.m-kosche[.]com). - Vulnérabilité liée aux tags : L’usage de tags mutables (ex:
v2.2.1) au lieu de hashs de commits (SHA) permet aux attaquants de remplacer le contenu légitime par du code malveillant sans modifier le fichier de configuration du workflow de la victime.
Recommandations de sécurité :
- Fixation par SHA : Remplacez immédiatement les références aux tags par des hashs de commit complets et vérifiés, antérieurs au 18 mai 2026.
- Rotation des secrets : Considerez tous les secrets utilisés dans les pipelines CI/CD ayant exécuté ces actions comme compromis et procédez à leur rotation immédiate.
- Audit des journaux : Inspectez l’historique des exécutions de vos workflows pour détecter des activités suspectes survenues après le 16 septembre 2026.
- Vérification des commits : Auditez l’historique de vos dépôts pour identifier d’éventuels commits non autorisés.