Em um novo ataque à cadeia de suprimentos de software, agentes maliciosos comprometeram o fluxo de trabalho popular do GitHub Actions, o actions-cool/issues-helper, para executar código malicioso que coleta credenciais sensíveis e as envia para um servidor controlado por atacantes. Segundo Varun Sharma, pesquisador da StepSecurity, “todas as tags existentes no repositório foram redirecionadas para um commit impostor que não aparece no histórico normal de commits da ação”. Esse commit contém código malicioso que extrai credenciais de pipelines CI/CD que executam a ação.
O commit impostor é uma estratégia de ataque onde o código malicioso é injetado em um projeto ao referenciar um commit ou tag que existe apenas em um fork controlado por adversários, em vez do repositório original confiável. Isso permite que os atacantes contornem as revisões padrão de Pull Request (PR) e executem código arbitrário. O commit malicioso, ao ser executado dentro de um runner do GitHub Actions, realiza uma série de ações, como baixar o runtime Bun JavaScript para o runner, ler a memória do processo Runner.Worker para extrair credenciais e fazer uma chamada HTTPS para um domínio controlado por atacantes (“t.m-kosche[.]com”) para transmitir os dados roubados.
A StepSecurity informou que 15 tags associadas a uma segunda ação do GitHub, “actions-cool/maintain-one-comment”, também foram comprometidas com a mesma funcionalidade. O GitHub desativou o acesso ao repositório devido a uma “violação dos termos de serviço do GitHub”. Não está claro o que levou a subsidiária da Microsoft a tomar essa decisão.
Curiosamente, o domínio de exfiltração “t.m-kosche[.]com” foi observado na última onda da campanha Mini Shai-Hulud, que tem como alvo pacotes npm do ecossistema @antv, indicando que as duas atividades podem estar relacionadas. Philipp Burckhardt, chefe de inteligência de ameaças da Socket, afirmou que o comprometimento do npm @antv provavelmente está ligado ao hack do actions-cool, citando sobreposições no domínio de exfiltração. “Isso aponta para o mesmo cluster de atividade Mini Shai-Hulud, não um incidente separado apenas de npm”, acrescentou Burckhardt.
Devido ao redirecionamento de todas as tags para commits maliciosos, qualquer fluxo de trabalho que referencie a ação por versão puxa o código malicioso na próxima execução. Apenas fluxos de trabalho fixados a um SHA de commit conhecido e seguro não são afetados.
Fonte:https://thehackernews.com/2026/05/github-actions-supply-chain-attack.html
