Кампания-копия GhostAction привела к компрометации как минимум 94 репозиториев GitHub, 79 из них исследователи проанализировали подробно. Злоумышленники добавили в репозитории файл .vscode/tasks.json и файл public/fonts/fa-solid-400.woff2. Несмотря на расширение WOFF2, второй файл содержит обычный код Node.js. VS Code автоматически запускает скрытую задачу eslint-check, которая выполняет этот скрипт без расширения, связанного с JavaScript. Стилер определяет пользователя, имя хоста и репозиторий GitHub, затем собирает первые 3 000 байт из файлов учётных данных AWS, PyPI, npm, Git, Netrc, Claude, Gemini и Kubernetes...