RecodeX 重构消息，自11月10日起，某威胁行为者利用窃取的GitHub账号凭证，向大量代码仓库推送恶意CI工作流。共有4837个被盗账号在61764个代码仓库发起探测性拉取请求，其中约6500个仓库（占比11%）实际运行了恶意载荷，导致凭证泄露。

该恶意软件会窃取GitHub Actions机密、GITHUB_TOKEN、AWS/GCP/Azure凭证以及AI服务商API密钥等运行器机密，并通过自动发布机制至少渗透到一个Packagist软件包和一个Go模块。此次攻击与10月的GhostAction攻击存在重叠，但目前尚无法确认两次攻击为同一行为者所为。