گزارش‌های جدید نشان می‌دهد که دو مورد از GitHub Actions که پیش‌تر در جریان کمپین بدافزار Mini Shai-Hulud در می ۲۰۲۶ آلوده شده بودند، برای دومین بار فعال شده و مجدداً شروع به اجرای کدهای مخرب کردند.
جزئیات بازگشت تهدید
بر اساس تحلیل‌های پژوهشگران Socket، این مخازن (Repositories) که پیش‌تر توسط کارکنان گیت‌هاب به دلیل نقض شرایط خدمات غیرفعال شده بودند، در تاریخ ۱۶ سپتامبر ۲۰۲۶ دوباره در دسترس قرار گرفتند. نکته بحرانی اینجاست که تگ‌های انتشار (Release Tags) این اکشن‌ها پاک‌سازی نشده بودند و همچنان به محتوای مخربی اشاره می‌کردند که در ۱۸ می وارد شده بود.
در نتیجه، هر Workflow که از این اکشن‌ها از طریق تگ‌های نسخه‌بندی استفاده می‌کرد، در اولین اجرای بعدی، به‌طور خودکار Payload مخرب را دانلود و اجرا کرد.
هدف و مکانیسم حمله
این بدافزار که با خوشه‌ی فعالیت Mini Shai-Hulud مرتبط است، با هدف سرقت اطلاعات حساس (Credentials) از خط لوله‌های CI/CD طراحی شده است. اطلاعات سرقتی سپس به سروری تحت کنترل مهاجم ارسال می‌شد. این فعالیت‌ها با تحلیل دامنه‌های خروجی داده (Exfiltration Domain) در بسته‌های npm اکوسیستم @antv شناسایی شده‌اند.
ریسک‌های زنجیره تأمین (Supply Chain)
این حادثه نشان‌دهنده یک ریسک جدی در امنیت زنجیره تأمین نرم‌افزار است؛ چرا که کد مخرب در پایگاه کد باقی مانده بود و تنها با در دسترس قرار گرفتن مجدد مخزن، بدون نیاز به اکسپلویت جدید یا زیرساخت تازه، فعال شد. از آنجایی که این اکشن‌ها وظایفی نظیر مدیریت Issueها و کامنت‌ها را به‌صورت خودکار و روزانه انجام می‌دهند، اکثر مخازن آسیب‌دیده احتمالاً ظرف یک روز پس از فعال‌سازی مجدد، مورد حمله قرار گرفته‌اند.
راهکار پیشگیری و مقابله
کارشناسان تأکید می‌کنند که استفاده از تگ‌های متغیر (Mutable Tags) ریسک بالایی دارد. تنها راه ایمن برای جلوگیری از این نوع حملات، استفاده از SHA Pinning است. با پین کردن اکشن‌ها به یک Commit SHA مشخص از نسخه‌های پیش از ۱۸ می ۲۰۲۶، وابستگی به وضعیت مخزن بالادستی حذف شده و امنیت Workflow تضمین می‌شود.
