La campagna FakeGit usa migliaia di repository GitHub per distribuire SmartLoader

I ricercatori di sicurezza hanno identificato una campagna su larga scala che utilizza repository GitHub fraudolenti per distribuire il malware SmartLoader e, in alcuni casi, il malware per il furto di informazioni StealC. Denominata FakeGit, l’operazione ha creato quasi 7.600 repository dannosi attraverso circa 6.600 account, secondo una ricerca di Island.

Secondo quanto riferito, oltre 800 repository si spacciavano per competenze di intelligenza artificiale o server del Model Context Protocol (MCP). I progetti imitavano strumenti e integrazioni associati a servizi tra cui Gmail, WhatsApp, Databricks, Jenkins e Docker. Alcuni erano stati creati di recente, mentre altri copiavano l’aspetto e i contenuti di progetti open source legittimi.

I repository utilizzano nomi persuasivi, profili di sviluppatori e file README per incoraggiare i download. In circa 200 repository della campagna, gli asset delle release di GitHub avevano totalizzato oltre 14 milioni di download entro luglio 2026. Gli archivi ZIP scaricati avviano una catena di esecuzione basata su LuaJIT che esegue uno script Lua offuscato, installa SmartLoader e può successivamente distribuire StealC, progettato per raccogliere informazioni sensibili dai sistemi infetti.

Gli agenti di IA entrano nel percorso dell’attacco

Island ha descritto un’evoluzione della campagna denominata “AgentBaiting”. Invece di richiedere che una vittima riceva un link dannoso diretto, gli aggressori progettano i nomi dei repository e la documentazione affinché compaiano nei risultati delle ricerche assistite dall’IA relative a competenze, plugin o server MCP.

Durante i test, i ricercatori hanno affermato che Claude Code, Google Gemini e ChatGPT mostravano repository della campagna quando ricevevano richieste relative a competenze gratuite o integrazioni MCP. Un agente poteva quindi interpretare il README del repository come guida all’installazione e trasmettere le istruzioni a un utente, avvicinando potenzialmente l’attacco all’esecuzione senza che una persona cercasse deliberatamente del malware.

Secondo quanto riferito, oltre 600 inserzioni correlate sono apparse su registri pubblici di competenze e MCP, tra cui LobeHub, Glama, MCP.so e MCP Market. Tali inserzioni possono conferire ai progetti dannosi un ulteriore aspetto di legittimità.

Misure di sicurezza consigliate

• Mantenere un inventario approvato di competenze, server MCP e plugin per agenti.
• Testare le nuove funzionalità in ambienti isolati e sottoposti a sandbox prima della distribuzione.
• Verificare la titolarità del repository, l’identità del publisher e la cronologia del progetto.
• Monitorare i flussi di lavoro degli agenti per individuare download, comandi di installazione e altri percorsi di esecuzione.

La campagna evidenzia come i sistemi pubblici di hosting del codice e di scoperta basata sull’IA possano combinarsi creando un rischio per la catena di fornitura del software, anche senza la compromissione diretta di un servizio affidabile.