بازگشت پیلود Mini Shai-Hulud به گیت‌هاب اکشنز
بر اساس یافته‌های پژوهشگران شرکت امنیت اپلیکیشن‌های کاربردی Socket، دو اکشن actions-cool/issues-helper و actions-cool/maintain-one-comment از 16 تا 25 سپتامبر دوباره فعال شدند، اما تگ‌های انتشار آن‌ها همچنان نسخه حاوی کد مخرب را در اختیار گردش کارها قرار می‌دادند. در نتیجه، گردش کارهایی که از این اکشن‌ها استفاده می‌کردند، بار دیگر پیلود مخرب را دانلود و اجرا کردند.
این رخداد در ادامه کمپین Mini Shai-Hulud و حمله زنجیره تأمین این کمپین در ماه می رخ داد؛ حمله‌ای که طی آن 323 پکیج و 639 نسخه از پکیج‌های موجود در رجیستری npm آلوده شدند. بدافزار این کمپین با هدف سرقت توکن‌ها ، اعتبارنامه‌ها و اطلاعات حساس محیط‌های CI/CD توسعه‌دهندگان طراحی شده بود.
پژوهشگران Socket دریافتند که تگ‌های انتشار actions-cool/issues-helper و actions-cool/maintain-one-comment همچنان همان کامیت حاوی پیلود مبهم‌سازی‌شده (Obfuscated Payload) در فایل index.js را هدف قرار می‌دادند.
Socket در توضیح این رخداد اعلام کرد که هر دو مخزن در 16 سپتامبر 2026 دوباره در دسترس قرار گرفتند، اما پیش از فعال‌سازی مجدد، تگ‌های انتشار آن‌ها از کد مخرب پاک‌سازی نشده بودند.
پژوهشگران این شرکت توضیح دادند که تگ‌های انتشار همچنان همان کد مخربی را در اختیار گردش کارها قرار می‌دادند که در 18 می به پروژه‌ها اضافه شده بود. در نتیجه، هر گردش کاری که یکی از این دو اکشن را از طریق تگ نسخه به کار می‌گرفت، در اجرای بعدی بار دیگر پیلود Mini Shai-Hulud را دانلود و اجرا می‌کرد. دلیل فعال‌سازی مجدد این مخازن بدون پاک‌سازی کامل کد مخرب همچنان مشخص نیست.
وابستگی هزاران مخزن به اکشن‌های آلوده
بر اساس اعلام Socket، گراف وابستگی (Dependency Graph) گیت‌هاب نشان می‌دهد حدود 15 هزار مخزن به issues-helper وابسته هستند؛ با این حال، این آمار به‌تنهایی به معنای آلوده‌شدن تمامی این مخازن نیست. در واقع، مشخص نیست چه تعداد از پروژه‌های وابسته، این دو اکشن را از طریق تگ قابل‌تغییر (Mutable Tag) مورد استفاده قرار می‌دهند و چه تعداد، نسخه مشخصی از کد را با استفاده از کامیت پین‌شده (Pinned Commit) فراخوانی می‌کنند.
همچنین پژوهشگران Socket توضیح دادند که اکشن‌های تحت تأثیر، به دلیل استفاده گسترده برای مدیریت و سامان‌دهی Issueها، تقریباً هر روز اجرا می‌شوند. در نتیجه، گردش کارهایی که از نسخه آلوده این اکشن‌ها استفاده می‌کردند، ممکن بود هنگام اجرا، پیلود مخرب Mini Shai-Hulud را دانلود و اجرا کنند.
غیرفعال‌شدن دوباره اکشن‌های گیت‌هاب آلوده به Mini Shai-Hulud
پژوهشگران Socket در 25 سپتامبر دریافتند که هر دو اکشن بار دیگر در گیت‌هاب غیرفعال شده‌اند. در نتیجه، گردش کارهایی که از این اکشن‌ها استفاده می‌کردند، به‌جای دریافت و اجرای پیلود Mini Shai-Hulud، با خطا مواجه می‌شدند.
Socket به توسعه‌دهندگان توصیه می‌کند ابتدا استفاده از این دو اکشن را در پروژه‌های خود شناسایی کرده و در صورت امکان، آن‌ها را حذف یا به یک کامیت مشخص و تأییدشده از نظر امنیتی پین کنند. همچنین لازم است سابقه اجرای گردش کارها از 16 سپتامبر بررسی شود تا مشخص گردد آیا در این مدت از تگ آلوده استفاده شده است یا خیر. در صورت استفاده از این تگ، توکن‌ها، اعتبارنامه‌ها و اطلاعات حساسی که در اختیار گردش کار مربوطه قرار داشته‌اند باید باطل شده و داده‌های جدید جایگزین آن‌ها شوند.
