技术说明
首次报告于5月13日的Mini Shai-Hulud活动的更新：2026年5月18日，威胁行为者使用被入侵的Personal Access Tokens和部署密钥，在6小时内向5,561个公共GitHub仓库推送了5,718个恶意提交。与早期的npm包投毒攻击不同，此次Megalodon阶段直接针对GitHub Actions CI/CD工作流文件，注入base64编码的bash载荷，旨在窃取CI密钥、云凭证（AWS、GCP、Azure）、SSH密钥、GitHub OIDC令牌、源代码密钥和数据库连接字符串——将所有内容渗出到位于216.126.225.129:8443的C2服务器。截至5月26日，约有2,900个仓库仍被感染，意味着83%的被入侵仓库在发现攻击一周多后仍未被清理。独立研究将Megalodon活动与TeamPCP（Shai-Hulud背后的组织）联系起来。
攻击途径
被入侵的开发者PAT或部署密钥被用于直接向main/master分支推送恶意提交，无需pull request。部署了两种载荷变体：SysDiag（在每次推送/PR时触发）和Optimize-Build（使用workflow_dispatch实现休眠后门，不留下可见的CI运行记录）。收集的OIDC令牌用于在AWS、GCP或Azure中冒充合法的CI/CD管道。
受影响系统
涉及5,561个公共GitHub仓库，包括Tiledesk、WIZnet、persian-tools等项目。从被毒化仓库发布的Npm包将后门传播到下游。Optimize-Build变体的休眠后门在CI历史记录中不可见，直到攻击者触发。
缓解措施
审计.github/workflows/目录中2026年5月18日或之后的未授权修改——查找来自未知8字符GitHub句柄（如rkb8el9r）或伪造身份（build-bot、auto-ci、ci-bot）的提交。撤销并轮换所有CI/CD令牌、PAT和部署密钥。搜索IoC提交哈希'acac5a9'和C2域名216.126.225[.]129:8443。验证任何workflow_dispatch触发的作业是否存在注入载荷。要求分支保护规则并要求向默认分支直接推送时必须通过PR。