Die FakeGit-Kampagne nutzt 7.600 GitHub-Repositories, um die SmartLoader-Malware zu verbreiten!
Eine groß angelegte Operation mit dem Namen „FakeGit“ verbreitet die Malware SmartLoader und StealC über 7.600 bösartige GitHub-Repositories, die mehr als 14 Millionen Downloads verzeichnen.
Über 800 Repositories gaben sich als KI-Fähigkeiten oder MCP-Server aus und tauchten mehr als 600 Mal in öffentlichen KI-Registern und -Katalogen auf. Dadurch erhöhte sich die Wahrscheinlichkeit, von KI-Agenten und -Entwicklern entdeckt zu werden – eine Technik, die Forscher als „Agent Baiting“ bezeichnen.
Die Kampagne wird als Fortsetzung einer älteren Operation betrachtet, bei der Lumma Stealer zum Einsatz kam und die von Forschern des Cybersicherheitsunternehmens Trend Micro einem Bedrohungsakteur namens „Water Kurita“ zugeschrieben wurde.
Nach Angaben von Forschern der Enterprise-Browser-Plattform Island wurde der Fokus auf KI im März eingeführt und erreichte im April seinen Höhepunkt mit der Erstellung von 300 GitHub-Repositories, die mit KI-Tools verknüpft sind.
Forscher stellten fest, dass FakeGit auf mehr als 1.400 Repositories anwuchs, die sich auf KI-Tools, Agenten und Workflows bezogen und alle auf Downloads der Malware SmartLoader oder StealC verlinkten.
Viele der Repositories imitieren Verbraucher- und Unternehmens-Tools wie Gmail, WhatsApp, Databricks, Jenkins und Docker und beinhalten überzeugende Dokumentationen, erfundene Sterne- und Fork-Zahlen, kopierte Projektbeschreibungen und echte Entwicklerkontonamen.
In ihren README-Dateien werden Besucher aufgefordert, ZIP-Archive herunterzuladen, die sich als Installationsprogramme oder Projektveröffentlichungen ausgeben, aber in Wirklichkeit getarnte Lua-Payloads sind, die SmartLoader auslösen.
Sobald SmartLoader aktiv ist, stellt es die Persistenz durch geplante Aufgaben sicher, ruft seine Command-and-Control-Adresse (C2) über einen Polygon Smart Contract ab und lädt zusätzliche verschlüsselte Stufen von GitHub herunter, um schließlich den StealC Information Stealer bereitzustellen.
Die Agent Baiting - Technik:
Forscher bei Island sagen, dass die bösartigen Repositories Teil einer neuen Technik sind, die sie AgentBaiting nennen. Diese Technik ist darauf ausgelegt, ihre Sichtbarkeit für KI-Agenten zu erhöhen und die Wahrscheinlichkeit ihrer Verwendung zu verbessern.
In einem typischen Szenario werden Agenten den Inhalt der README-Datei wahrscheinlich als legitime Dokumentation interpretieren und dem menschlichen Bediener das Repository oder die ZIP-Datei empfehlen.
In den Tests von Island zeigten ChatGPT, Gemini und Claude bei entsprechenden Aufgaben verschiedene schädliche Repositories an und gaben manchmal auch die Installationsanweisungen weiter.
Island fand in öffentlichen Registern und Katalogen über 600 Einträge für Skills und MCP-Server, die mit der FakeGit-Kampagne in Verbindung standen. Darunter befanden sich LobeHub, Glama, MCP.so und MCP Market, was darauf hindeutet, dass die Operation bereits in das Ökosystem eingedrungen ist und öffentliche Ressourcen kompromittiert hat.
Die Forscher konnten nicht feststellen, ob die Einträge manuell eingereicht oder automatisch indexiert wurden, sagten aber, dass ihre Awesenheit die Auffindbarkeit der Repositorien erleichterte und zu ihrer Glaubwürdigkeit beitrug.
Forscher der Insel berichteten BleepingComputer, dass Claude Code in begrenzten, kontrollierten Tests bösartige Repositories geklont und die bösartigen Dateien auf den Testrechner heruntergeladen habe.
Der Agent entdeckte jedoch anschließend verdächtige Indikatoren und stoppte die Ausführung.
Die Tests waren nicht darauf ausgelegt, eine Erkennungsrate zu ermitteln, daher können sie keine abschließenden Ergebnisse darüber liefern, ob Codierungsagenten die Gefahr während der Ausführungsphase zuverlässig erkennen können.
Was die weiterreichenden Auswirkungen der Kampagne betrifft, berichtet Island, dass die öffentlichen Download-Zähler von GitHub für 335 einzigartige Release-Assets in 211 GitFake-Repositories insgesamt 14.084.688 Download-Ereignisse verzeichneten.
Oleg Zaytsev, leitender Sicherheitsforscher bei Island, stellte klar, dass diese Zahl wiederholte Anfragen und automatisierte Aktivitäten einschließt. Island empfiehlt Organisationen, genehmigte Kompetenzkataloge und MCP-Server zu pflegen, neue Funktionen in isolierten Umgebungen zu testen und Herausgeber und Repositories unabhängig zu überprüfen.
Wenn der Verdacht besteht, dass SmartLoader ausgeführt wird, sollten alle Geheimnisse in den betroffenen Umgebungen sofort rotiert werden.