Abertura
Dois GitHub Actions de terceiros, anteriormente identificados como parte da campanha Mini Shai-Hulud, foram reativados pelos seus mantenedores e continuaram disponíveis por mais de uma semana, mesmo contendo referências a código malicioso. A reativação ocorreu após a divulgação inicial da comprometimento, mas os repositórios ainda direcionam para scripts que podem ser explorados por agentes maliciosos, gerando preocupação entre desenvolvedores que confiam em ações automatizadas para builds e deploys.
Contexto
A campanha Mini Shai-Hulud surgiu no início do ano, quando pesquisadores de segurança detectaram múltiplos GitHub Actions adulterados para inserir payloads em projetos de código aberto. Os invasores aproveitavam a confiança dos desenvolvedores na reutilização de ações prontas, inserindo instruções que baixavam e executavam arquivos maliciosos em ambientes de integração contínua. Após a descoberta, a comunidade de segurança alertou sobre a necessidade de auditoria rigorosa das dependências, e vários repositórios foram removidos ou desativados. No entanto, alguns mantenedores optaram por reativar as ações, possivelmente para restaurar funcionalidades interrompidas, sem remover completamente o código comprometido.
Impacto
Empresas que adotam pipelines automatizados no GitHub Actions podem ter sido expostas ao risco de execução não autorizada de código, especialmente se utilizarem as ações afetadas sem revisão prévia. A permanência dos repositórios vulneráveis por mais de sete dias aumenta a janela de oportunidade para que atacantes explorem ambientes de build, potencialmente comprometendo segredos de API, credenciais e artefatos de produção. Embora não haja relatos públicos de incidentes concretos decorrentes desta reativação, a situação reforça a necessidade de monitoramento contínuo das dependências de CI/CD, sobretudo em projetos que dependem de ações de terceiros.
Detalhes técnicos
A carga Mini Shai-Hulud funciona inserindo comandos de download e execução de scripts hospedados em servidores externos. Normalmente, a ação comprometida contém um passo que utiliza curl ou wget para buscar um arquivo binário, seguido de um comando sh ou bash que executa o conteúdo sem validação de assinatura. Essa técnica permite que o invasor entregue diferentes payloads conforme a fase da campanha, dificultando a detecção por assinaturas estáticas. As versões afetadas dos fluxos de trabalho não apresentam verificações de integridade, nem utilizam hashes para validar os arquivos baixados, o que facilita a injeção de código malicioso. Além disso, a configuração padrão das ações permite que o script seja executado com privilégios de usuário do runner, potencialmente escalando privilégios dentro do ambiente de build.
Encerramento
Especialistas recomendam que organizações revisem imediatamente todas as dependências de GitHub Actions em uso, removendo ou substituindo aquelas que apontam para repositórios comprometidos. A prática de travar versões específicas e validar hashes de artefatos externos pode mitigar a exploração de cargas como a Mini Shai-Hulud. Até o momento, os mantenedores das ações reativadas não divulgaram planos de remoção do código malicioso, mantendo a comunidade em alerta. A fonte original da informação foi o portal BleepingComputer, que acompanhou o desenvolvimento da campanha desde sua primeira detecção.