GhostAction ระลอกใหม่ push 72,000 commit เข้า 23,000 repo แต่ GitHub สกัดเวิร์กโฟลว์ได้ — ผู้โจมตียังถือบัญชีที่ยึดไว้เกือบ 1,800 บัญชี และเริ่มเล็งเครื่องนักพัฒนากับคลาวด์ AWS
GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด
