Hai GitHub Actions thuộc dự án "actions-cool" đã bị vô hiệu hóa lần thứ hai sau khi các kho lưu trữ (repository) này có thể truy cập được vào tuần trước, vài tháng sau khi chúng bị thỏa hiệp trong chiến dịch Mini Shai-Hulud diễn ra vào tháng 5 năm 2026.
Các GitHub Actions bị ảnh hưởng bao gồm:
Khi truy cập vào một trong hai kho lưu trữ này hiện nay, người dùng sẽ nhận được thông báo: "Quyền truy cập vào kho lưu trữ này đã bị nhân viên GitHub vô hiệu hóa do vi phạm các điều khoản dịch vụ của GitHub. Nếu bạn là chủ sở hữu kho lưu trữ, bạn có thể liên hệ với bộ phận Hỗ trợ của GitHub để biết thêm thông tin."
"Vào ngày 16 tháng 9 năm 2026, cả hai kho lưu trữ đều có thể truy cập lại được," nhà nghiên cứu Karlo Zanki của Socket cho biết. "Các release tag của chúng đã không được dọn dẹp trước. Chúng vẫn trỏ đến nội dung độc hại được đưa vào từ ngày 18 tháng 5, vì vậy bất kỳ quy trình công việc (workflow) nào tham chiếu đến một trong hai action bằng version tag đều tiếp tục tải xuống và thực thi mã độc trong lần chạy tiếp theo."
Lịch sử cuộc tấn công Mini Shai-Hulud
Hai workflow GitHub Actions này ban đầu bị xâm nhập vào ngày 18 tháng 5 năm 2026, để chạy mã độc nhằm thu thập các thông tin xác thực nhạy cảm từ các đường dẫn CI/CD và chuyển dữ liệu đó đến một máy chủ do kẻ tấn công kiểm soát.
Hoạt động này sau đó được liên kết với cụm hoạt động Mini Shai-Hulud, dựa trên sự trùng lặp về tên miền lọc dữ liệu ("t.m-kosche[.]com") được sử dụng trong các workflow GitHub Actions và các gói npm từ hệ sinh thái @antv.
"Điều đó chỉ ra cùng một cụm hoạt động Mini Shai-Hulud, chứ không phải là một sự cố riêng biệt chỉ dành cho npm," Philipp Burckhardt, trưởng bộ phận tình báo đe dọa tại Socket, chia sẻ với The Hacker News vào thời điểm đó.
Nguy cơ từ mã độc chưa được dọn dẹp
Các kho lưu trữ đã được kích hoạt lại vào ngày 16 tháng 9 năm 2026, trong khoảng thời gian từ 11:09 sáng đến 6:16 chiều GMT+2. Hiện chưa rõ tại sao điều này lại xảy ra.
Tuy nhiên, diễn biến mới nhất cho thấy một vấn đề khác: mã độc vẫn tồn tại trong các mã nguồn bị ảnh hưởng và chưa bao giờ được dọn dẹp. Tất cả những gì cần thiết để kích hoạt mối đe dọa là các kho lưu trữ này có thể tải xuống được một lần nữa.
Xét đến việc vẫn còn một số workflow sử dụng hai GitHub Actions này, việc để lộ có thể dẫn đến các rủi ro bảo mật chuỗi cung ứng phần mềm nghiêm trọng mà kẻ tấn công không cần sử dụng exploit mới hay thiết lập hạ tầng mới.
Socket cho biết: "Cả hai action này đều tự động hóa các công việc quản lý issue và comment, chẳng hạn như đóng các issue không hoạt động, kiểm tra các issue mới mở hoặc cập nhật một comment của bot."
"Các workflow gọi chúng thường chạy theo lịch trình hàng ngày hoặc bất cứ khi nào có ai đó mở một issue hoặc pull request. Trong thực tế, hầu hết các kho lưu trữ bị ảnh hưởng có thể đã thực thi mã độc trong vòng một ngày kể từ khi được kích hoạt lại, mà kẻ tấn công không cần thực hiện thêm hành động nào."
Khuyến nghị dành cho nhà phát triển
Vấn đề này không ảnh hưởng đến các workflow ghim (pin) action vào mã SHA của bản commit đầy đủ từ trước ngày 18 tháng 5 năm 2026. Các nhà phát triển được khuyến nghị thực hiện các bước sau:
- Xác định mọi tham chiếu đến các action bị ảnh hưởng và coi "actions-cool/[email protected]" là phiên bản bị nhiễm độc.
- Gỡ bỏ các action này hoặc ghim chúng vào một SHA sạch đã được xác nhận trước ngày 18 tháng 5 năm 2026.
- Thay đổi (rotate) tất cả các bí mật (secrets) đã bị lộ.
- Xem lại lịch sử chạy workflow và kiểm tra các lần chạy thành công mới sau một thời gian dài bị lỗi "Set up job".
- Kiểm tra lịch sử kho lưu trữ để tìm các commit bất thường sau ngày 16 tháng 9 năm 2026.
"Hầu hết các sự cố chuỗi cung ứng đều liên quan đến một cái gì đó mới: một phiên bản độc hại mới được công bố, một tài khoản mới bị chiếm quyền hoặc một workflow mới được chèn vào," Zanki nói. "Sự cố này thì không. Không có mã mới nào được công bố và không có cấu hình nào bị thay đổi."
"Sự cố này cho thấy một tag có thể thay đổi có thể bị xâm nhập, bị ngăn chặn và sau đó được kích hoạt lại mà không có bất kỳ thay đổi nào đối với tệp workflow của chính bạn. Việc ghim SHA sẽ loại bỏ sự phụ thuộc đó vào trạng thái của kho lưu trữ thượng nguồn (upstream)."
