GitHub ha desactivado nuevamente dos acciones (issues-helper y maintain-one-comment) que fueron comprometidas por la campaña Mini Shai-Hulud. El código malicioso, que roba credenciales, permaneció activo tras una reactivación accidental de los repositorios, afectando a quienes usaban etiquetas de versión mutables. Se recomienda eliminar estas acciones, usar pines de SHA seguros y rotar todas las claves expuestas.






Dos GitHub Actions de actions-cool han sido desactivadas por segunda vez después de que los repositorios volvieran a ser accesibles la semana pasada, meses después de haber sido comprometidos durante la campaña Mini Shai-Hulud de mayo de 2026.

Las GitHub Actions afectadas se enumeran a continuación:

1. * actions-cool/issues-helper
2. * actions-cool/maintain-one-comment

Al visitar cualquiera de los repositorios, ahora aparece el mensaje: "El acceso a este repositorio ha sido desactivado por el personal de GitHub debido a una violación de los términos de servicio de GitHub. Si eres el propietario del repositorio, puedes ponerte en contacto con el soporte de GitHub para obtener más información".

"El 16 de septiembre de 2026, ambos repositorios volvieron a ser accesibles", dijo el investigador de Socket Karlo Zanki [enlace]. "Sus etiquetas de versión no fueron limpiadas primero. Siguen apuntando al contenido malicioso introducido el 18 de mayo, por lo que cualquier flujo de trabajo que haga referencia a cualquiera de las acciones mediante una etiqueta de versión volvió a descargar y ejecutar la carga útil en su siguiente ejecución".

Los dos flujos de trabajo de GitHub Actions fueron comprometidos originalmente el 18 de mayo de 2026 para ejecutar código malicioso que robaba credenciales sensibles de los canales de CI/CD que los ejecutaban y exfiltraba los detalles a un servidor controlado por un atacante.

La actividad fue vinculada posteriormente al grupo de actividad Mini Shai-Hulud, citando coincidencias en el dominio de exfiltración ("t.m-kosche[.]com") utilizado en los flujos de trabajo de GitHub Actions y los paquetes npm del ecosistema @antv.

"Eso apunta al mismo grupo de actividad Mini Shai-Hulud, no a un incidente independiente solo de npm", dijo Philipp Burckhardt, jefe de inteligencia de amenazas de Socket, en aquel momento.


Los repositorios fueron reactivados el 16 de septiembre de 2026, en algún momento entre las 11:09 a.m. y las 6:16 p.m. GMT+2. Actualmente no se sabe por qué ocurrió esto.

Pero el último acontecimiento apunta a otro problema: el código malicioso permaneció en las bases de código afectadas y nunca fue eliminado, y todo lo que se necesitaba para activar la amenaza era que los repositorios volvieran a ser descargables.

Dado que todavía hay varios flujos de trabajo que utilizan las dos GitHub Actions, la exposición podría haber provocado graves riesgos de seguridad en la cadena de suministro de software sin que los atacantes necesitaran usar un nuevo exploit o configurar una nueva infraestructura.

"Ambas acciones automatizan la gestión de incidencias y comentarios, como cerrar incidencias inactivas, revisar las recién abiertas o mantener actualizado un único comentario de bot", señaló Socket.

"Los flujos de trabajo que las llaman suelen ejecutarse en un horario diario o cada vez que alguien abre una incidencia o una solicitud de extracción. En la práctica, la mayoría de los repositorios afectados probablemente ejecutaron la carga útil en el plazo de un día tras la reactivación, sin que el atacante tuviera que hacer nada más".

El problema no afecta a los flujos de trabajo que anclan cualquier acción al SHA completo del commit de una versión anterior al 18 de mayo de 2026. Se recomienda que realices los siguientes pasos:
* Localiza cada referencia a las acciones afectadas y trata "actions-cool/issues-helper@v2.2.1" como afectada.
* Elimina las acciones y anclalas a un SHA limpio conocido que sea anterior al 18 de mayo de 2026.
* Rota todos los secretos expuestos.
* Revisa el historial de ejecución del flujo de trabajo y comprueba si hay ejecuciones exitosas nuevas después de un periodo prolongado de fallos en la configuración del trabajo.
* Audita el historial del repositorio en busca de commits inesperados después del 16 de septiembre de 2026.

"La mayoría de los incidentes de la cadena de suministro implican algo nuevo: una versión maliciosa recién publicada, una cuenta recién secuestrada o un flujo de trabajo recién inyectado", dijo Zanki. "Este no fue así. No se publicó código nuevo ni se cambió ninguna configuración".

"Este incidente demuestra que una etiqueta mutable puede ser comprometida, contenida y luego reactivada sin ningún cambio en tu propio archivo de flujo de trabajo. El anclaje por SHA elimina esa dependencia del estado del repositorio upstream".

Fuente:
THN