技術的な説明
5 月 13 日に最初に報告された Mini Shai-Hulud キャンペーンの更新：2026 年 5 月 18 日、脅威アクターが侵害された Personal Access Token と deploy key を使用して、6 時間以内に 5,718 件の悪意あるコミットを 5,561 件のパブリック GitHub リポジトリにプッシュしました。以前の npm パッケージ汚染の波とは異なり、この Megalodon フェーズは GitHub Actions CI/CD ワークフローファイルを直接ターゲットにし、CI シークレット、クラウド認証情報（AWS、GCP、Azure）、SSH キー、GitHub OIDC トークン、ソースコードシークレット、データベース接続文字列を盗むように設計された base64 エンコード bash ペイロードを注入し、すべてを 216.126.225.129:8443 の C2 に流出させました。5 月 26 日の時点で、約 2,900 のリポジトリが依然として感染したままであり、これは侵害されたリポジトリの 83% が発見から 1 週間以上経過してもクリーンアップされていないことを意味します。別の研究により、Megalodon キャンペーンは Shai-Hulud の背後にあるグループである TeamPCP に関連付けられています。
攻撃経路
侵害された開発者 PAT または deploy key を使用して、プルリクエストなしでメイン/マスターブランチに直接悪意あるコミットをプッシュしました。2 つのペイロードバリアントが展開されました：SysDiag（すべてのプッシュ/PR でトリガー）と Optimize-Build（CI 実行を表示しない休止状態のバックドアに workflow_dispatch を使用）。OIDC トークンが収集され、AWS、GCP、または Azure の正規の CI/CD パイプラインになりすまします。
影響を受けるシステム
Tiledesk、WIZnet、persian-tools などのプロジェクトを含む 5,561 件のパブリック GitHub リポジトリ。汚染されたリポジトリから公開された npm パッケージは、バックドアをダウンストリームに持ち込みます。Optimize-Build バリアントの休止状態のバックドアは、攻撃者がトリガーするまで CI 履歴には見えません。
緩和策
2026 年 5 月 18 日以降の .github/workflows/ ディレクトリを監査して、権限のない変更がないか確認してください — 未知の 8 文字の GitHub ハンドル（例：rkb8el9r）または偽造されたアイデンティティ（build-bot、auto-ci、ci-bot）からのコミットを探します。すべての CI/CD トークン、PAT、deploy key を取り消し、ローテーションしてください。IoC コミットハッシュ「acac5a9」と C2 ドメイン 216.126.225[.]129:8443 を検索してください。workflow_dispatch によってトリガーされたジョブで注入されたペイロードがないか確認してください。ブランチ保護ルールを要求し、デフォルトブランチへの直接プッシュに PR を要求します。