فعال‌سازی مجدد GitHub Actions در حالی که payload مربوط به Mini Shai-Hulud همچنان فعال بود
دو GitHub Action ثالث که قبلاً در کمپین Mini Shai-Hulud به‌خطر افتاده بودند توسط نگهدارنده دوباره فعال شدند و برای بیش از یک هفته در دسترس باقی ماندند در حالی که هنوز به کد مخرب اشاره می‌کردند (اطلاعات براساس گزارش BleepingComputer).
اطلاعات این گزارش مبتنی بر مطلب منتشرشده در BleepingComputer است. طبق گزارش، دو GitHub Actions ثالث که قبلاً در چارچوب کمپین Mini Shai-Hulud آلوده شده بودند توسط نگهدارنده مجدداً فعال شدند و بیش از یک هفته در وضعیت قابل دسترس باقی ماندند؛ این در حالی بود که این Actions هنوز به کدی اشاره می‌کردند که ماهیت مخرب داشت. جزئیات فنی بیشتری در منبع اصلی آمده اما در این خلاصه فقط موارد تأییدشده ذکر شده‌اند و از هرگونه حدس یا اضافه‌گویی خودداری شده است.
خلاصه تحلیلی مستقل (بی‌طرف):
- اهمیت: این رخداد بار دیگر ریسک‌های زنجیره تامین نرم‌افزار و اجرای خودکار در محیط‌های CI/CD را نشان می‌دهد. حتی پس از شناسایی و رفعِ سطحی، بازگشت یا فعال‌سازی مجدد مؤلفه‌های ثالث می‌تواند به پنجره‌های حمله جدید منجر شود.
- پیامدها: اگر یک Action مخرب در جریان کاری اجرا شود می‌تواند به اجرای کد دلخواه، افشای یا سرقت اسرار، یا نفوذ به محیط‌های پایین‌دست بینجامد.
- توصیه‌های فوری: نگهداران پروژه‌ها و تیم‌های توسعه باید اجزا و Actions مصرفی را بررسی و در صورت لزوم غیرفعال یا حذف کنند، اسرار و توکن‌های استفاده‌شده در پایتون/CI را بازنشانی کنند، وابستگی‌ها را به نسخه‌های شناخته‌شده و ثابت پین کنند و لاگ‌های اجرای CI را برای نشانه‌های غیرعادی بازبینی نمایند. همچنین پیشنهاد می‌شود از قابلیت‌هایی مانند بررسی provenance، allowlist برای Actions و محدودسازی دسترسی‌ها (least privilege) استفاده شود.
- تشخیص و پاسخ: به دنبال تماس‌های شبکه‌ای مشکوک، نمونه‌های کد رمزنگاری‌شده/base64، و تغییرات ناگهانی در رفتار workflows باشید و هر Action بازفعال‌شده را فوراً مورد بازبینی امنیتی قرار دهید.
هیچ‌گونه ادعای فراتر از اطلاعات گزارش‌شده در BleepingComputer مطرح نشده است؛ برای جزئیات بیشتر به منبع اصلی مراجعه کنید.