Dwie przejęte akcje actions-cool w GitHub Actions znów kradły poświadczenia

Dwie akcje actions-cool w GitHub Actions, przejęte 18 maja 2026 r. w kampanii Mini Shai-Hulud, 16 września znów stały się dostępne i ponownie uruchamiały złośliwy kod. GitHub zablokował je po raz drugi. Według Karla Zankiego z firmy Socket tagi wydań nie zostały wcześniej wyczyszczone i nadal wskazywały na treść dodaną w maju. Do uruchomienia zagrożenia wystarczyło, że repozytoria znów dało się pobrać.

Kogo dotyczy

Dotyczy to każdej firmy, której workflow odwołuje się do jednej z tych akcji przez tag wersji. Przy najbliższym uruchomieniu taki potok pobierał i wykonywał ładunek, który zbiera poświadczenia z potoków CI/CD i wysyła je na serwer atakującego. Repozytoria odblokowano 16 września między 11:09 a 18:16 czasu GMT+2. Socket łączy sprawę z tą samą grupą, która zainfekowała pakiety npm z ekosystemu @antv. Obie kampanie wysyłały dane do tej samej domeny t.m-kosche[.]com.