Wiz 披露 Gheist 攻击活动：利用窃取的 GitHub token 植入窃密工作流

Gheist campaign plants secret-dumping workflows using stolen GitHub tokens

Wiz Research 自 2026 年 9 月 15 日起追踪到 Gheist 攻击活动，滥用被盗 GitHub token 向每个可访问仓库提交名为 sync-check 的工作流，将仓库密钥打印进日志再经 GitHub API 下载并删除运行记录，已从 850 多个失陷账号中恢复逾 13,500 个植入分支。