FakeGit-Kampagne nutzt Tausende GitHub-Repositories zur Verbreitung von SmartLoader

Sicherheitsforscher haben eine groß angelegte Kampagne identifiziert, bei der gefälschte GitHub-Repositories zur Verbreitung der SmartLoader-Malware und in einigen Fällen des Informationsdiebstahlers StealC eingesetzt werden. Laut einer Untersuchung von Island hat die als FakeGit bezeichnete Operation über rund 6.600 Konten fast 7.600 schädliche Repositories erstellt.

Berichten zufolge gaben sich mehr als 800 Repositories als Skills für künstliche Intelligenz oder als Model-Context-Protocol-(MCP-)Server aus. Die Projekte ahmten Tools und Integrationen für Dienste wie Gmail, WhatsApp, Databricks, Jenkins und Docker nach. Einige wurden neu erstellt, während andere das Erscheinungsbild und die Inhalte legitimer Open-Source-Projekte kopierten.

Die Repositories verwenden überzeugende Namen, Entwicklerprofile und README-Dateien, um zum Download zu animieren. In etwa 200 Kampagnen-Repositories hatten die GitHub-Release-Assets bis Juli 2026 insgesamt mehr als 14 Millionen Downloads verzeichnet. Die heruntergeladenen ZIP-Archive starten eine auf LuaJIT basierende Ausführungskette, die ein verschleiertes Lua-Skript ausführt, SmartLoader installiert und anschließend StealC einsetzen kann. Dieser Schadcode ist darauf ausgelegt, sensible Informationen von infizierten Systemen zu sammeln.

KI-Agenten werden Teil des Angriffspfads

Island beschrieb eine Weiterentwicklung der Kampagne namens „AgentBaiting“. Anstatt dass das Opfer einen direkten schädlichen Link erhalten muss, gestalten die Angreifer Repository-Namen und Dokumentationen so, dass sie in den Ergebnissen KI-gestützter Suchen nach Skills, Plugins oder MCP-Servern erscheinen.

In Tests erklärten die Forscher, dass Claude Code, Google Gemini und ChatGPT Kampagnen-Repositories anzeigten, wenn sie nach kostenlosen Skills oder MCP-Integrationen gefragt wurden. Ein Agent könnte das README des Repositorys anschließend als Installationsanleitung interpretieren und die Anweisungen an einen Benutzer weitergeben. Dadurch könnte der Angriff der Ausführung näherkommen, ohne dass eine Person gezielt nach Schadsoftware sucht.

Berichten zufolge sind mehr als 600 verwandte Einträge in öffentlichen Skill- und MCP-Verzeichnissen erschienen, darunter LobeHub, Glama, MCP.so und MCP Market. Solche Einträge können den schädlichen Projekten einen zusätzlichen Anschein von Legitimität verleihen.

Empfohlene Schutzmaßnahmen

• Führen Sie ein genehmigtes Inventar der Skills, MCP-Server und Agenten-Plugins.
• Testen Sie neue Funktionen vor der Bereitstellung in isolierten, abgeschotteten Umgebungen.
• Überprüfen Sie den Besitz des Repositorys, die Identität des Herausgebers und die Projekthistorie.
• Überwachen Sie Agenten-Workflows auf Downloads, Installationsbefehle und andere Ausführungspfade.

Die Kampagne zeigt, wie öffentliche Code-Hosting- und KI-Discovery-Systeme zusammen ein Risiko für die Software-Lieferkette schaffen können – selbst ohne eine direkte Kompromittierung eines vertrauenswürdigen Dienstes.