19 באוקטובר 2026
פתחתם את התיקייה ב-VS Code, וזה כל מה שהתוקף היה צריך: השלב השני של GhostAction יוצא מ-GitHub אל הלפטופ
94 מאגרי GitHub קיבלו קובץ שמתחזה לגופן ומריץ סקריפט שמחלץ פרטי אימות ברגע שמפתח פותח את התיקייה, ועוד רשומת cron שמבקשת מהשרת פקודות חדשות כל חמש דקות. OpenSourceMalware מראים שהמעבר הזה קרה שישה ימים אחרי ש-GitHub חסם את השלב הראשון.