Réactivation de GitHub Actions compromis : le payload Mini Shai-Hulud toujours actif

📅 Source : BleepingComputer, publié le 26 septembre 2026. Cet article rapporte une réactivation accidentelle de deux GitHub Actions malveillants, initialement compromis en mai 2026 dans le cadre de la campagne Mini Shai-Hulud.

🔍 Contexte de la compromission initiale Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de l’attaque Mini Shai-Hulud, une attaque de la chaîne d’approvisionnement ayant infecté 323 packages et 639 versions de packages sur le registre npm. Le malware ciblait les tokens, credentials et secrets CI/CD des développeurs. L’équipe de sécurité GitHub avait alors supprimé ces actions.

⚠️ Réactivation sans nettoyage Selon les chercheurs de Socket, à partir du 16 septembre 2026 et jusqu’au 25 septembre 2026, les deux actions sont redevenues accessibles avec les mêmes tags de release, pointant toujours vers le commit malveillant du 18 mai. Le payload obfusqué était présent dans le fichier index.js. Tout workflow référençant ces actions par un tag de version a donc téléchargé et exécuté le payload lors de sa prochaine exécution.

📊 Périmètre d’exposition

• Le graphe de dépendances GitHub recense environ 15 000 dépôts dépendant de issues-helper
• Le nombre exact de dépôts référençant les actions par un tag mutable (plutôt qu’un commit épinglé) n’a pas été établi
• La fenêtre d’exposition a débuté le 16 septembre entre 11h09 et 18h16 GMT+2
• Les deux actions ont été désactivées à nouveau le 25 septembre 2026

🛠️ Nature du payload Le payload, inséré dans index.js, était obfusqué et ciblait les tokens, credentials et secrets CI/CD accessibles aux workflows.

📰 Cet article est un rapport d’incident documentant une réactivation non intentionnelle d’artefacts malveillants dans un contexte d’attaque supply chain, produit par la société de sécurité applicative Socket.

🧠 TTPs et IOCs détectés

TTP

• T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
• T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
• T1059 — Command and Scripting Interpreter (Execution)
• T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

• Fichiers : index.js

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 28 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Mini Shai-Hulud payload (stealer)

🟡 Indice de vérification factuelle : 51/100 (moyenne)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 2849 chars — texte partiel (10pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 4 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/github-actions-re-enabled-with-mini-shai-hulud-payload-still-active/