GitHub Actions comprometidas reaparecem e retomam distribuição de malware

Repositórios do GitHub Actions que foram anteriormente retirados do ar devido a preocupações de segurança reapareceram online, gerando alertas entre pesquisadores de segurança. Esses repositórios foram inicialmente comprometidos durante a campanha de malware Mini Shai-Hulud em maio de 2026 e haviam sido temporariamente desativados.

Os repositórios em questão, actions-cool/issues-helper e actions-cool/maintain-one-comment, estão agora mais uma vez acessíveis. Esse desenvolvimento representa riscos significativos para equipes de desenvolvimento que podem executar código malicioso sem saber, por meio de seus pipelines de integração e entrega contínua. Organizações que utilizam GitHub Actions de terceiros devem revisar imediatamente suas configurações e monitorar atividades suspeitas.

Contexto da Campanha de Malware

• A campanha Mini Shai-Hulud atacou desenvolvedores por meio de GitHub Actions comprometidos
• O comprometimento inicial ocorreu em maio de 2026, afetando repositórios utilitários populares
• O malware foi projetado para estabelecer persistência em ambientes de desenvolvimento
• A campanha demonstrou compreensão sofisticada dos padrões de fluxo de trabalho dos desenvolvedores

Recomendações de Segurança

• Audite todos os GitHub Actions de terceiros atualmente usados na sua organização
• Implemente controles de acesso rigorosos e monitoramento para componentes de pipelines CI/CD
• Revise permissões de repositórios e desative dependências externas desnecessárias
• Estabeleça varreduras automatizadas para detectar padrões maliciosos conhecidos em processos de build
• Considere manter uma lista de permissões com GitHub Actions confiáveis para uso em produção

Fontes

• Compromised GitHub Actions Came Back Online and Resumed Executing Mini Shai-Hulud Malware