技術的な説明
5 月 13 日に最初に報告された Mini Shai-Hulud キャンペーンの更新: 2026 年 5 月 18 日、脅威アクターは侵害された Personal Access Token とデプロイキーを使用して、6 時間以内に 5,718 件の悪意あるコミットを 5,561 個のパブリック GitHub リポジトリにプッシュしました。以前の npm パッケージ汚染の波とは異なり、この Megalodon フェーズは GitHub Actions CI/CD ワークフローファイルを直接対象とし、CI シークレット、クラウド認証情報 (AWS、GCP、Azure)、SSH キー、GitHub OIDC トークン、ソースコードシークレット、およびデータベース接続文字列を盗むために設計された base64 エンコードされたbash ペイロードを注入し、216.126.225.129:8443 の C2 に流出させました。5 月 26 日現在、約 2,900 のリポジトリが感染したままであり、つまり侵害されたリポジトリの 83% が発見から 1 週間以上経過してもクリーンアップされていません。別の調査により、Megalodon キャンペーンは Shai-Hulud の背後にあるグループである TeamPCP にリンクされています。
攻撃経路
侵害された開発者 PAT またはデプロイキーが、プルリクエストなしで main/master ブランチに直接悪意あるコミットをプッシュするために使用されました。2 つのペイロードバリアント: SysDiag (すべてのプッシュ/PR でトリガー) および Optimize-Build (ワークフロー_dispatch を使用して、CI 実行が表示されない休止状態のバックドア)。OIDC トークンを収集して、AWS、GCP、または Azure で正当な CI/CD パイプラインを偽装します。
影響を受けるシステム
Tiledesk、WIZnet、persian-tools などのプロジェクトを含む 5,561 個のパブリック GitHub リポジトリ。汚染されたリポジトリから公開された Npm パッケージはバックドアをダウンストリームに伝播します。Optimize-Build バリアントの休止状態のバックドアは、攻撃者がトリガーするまで CI 履歴では見えません。
緩和策
2026 年 5 月 18 日以降の .github/workflows/ ディレクトリの未承認の変更を監査します — 不明な 8 文字の GitHub ハンドル (例: rkb8el9r) または偽造されたアイデンティティ (build-bot、auto-ci、ci-bot) からのコミットを探します。すべての CI/CD トークン、PAT、およびデプロイキーを無効化および更新します。IoC コミットハッシュ 'acac5a9' および C2 ドメイン 216.126.225[.]129:8443 を検索します。ペイロード注入のためにトリガーされた workflow_dispatch ジョブを確認します。ブランチ保護ルールを要求し、デフォルトブランチへの直接プッシュのために PR を要求します。