La campaña FakeGit reaparece con 17 610 repositorios maliciosos en GitHub

La operación de malware FakeGit ha regresado con una masiva campaña automatizada, desplegando 17 610 repositorios maliciosos en GitHub para propagar el descargador SmartLoader. Según las observaciones de Apiiro, una plataforma de seguridad para la cadena de suministro de software, la campaña reanudó sus actividades el 4 de octubre y se expandió con rapidez: publicó más de 13 000 repositorios en solo 34 horas y alcanzó un pico de 2 999 actualizaciones de repositorios por hora.

Archivos README manipulados y cuentas comprometidas

El análisis de Apiiro muestra que el ataque depende en gran medida de modificaciones simples en lugar de alteraciones complejas de código. En las muestras de confirmaciones analizadas, el 97 % solo modificó el archivo README del proyecto, mientras que el 88 % dirigió el botón de descarga del README a un archivo ZIP diseñado para ejecutar SmartLoader. Una vez desplegado, SmartLoader entrega cargas útiles secundarias, como el robainformación StealC. Aunque los operadores de FakeGit emplean principalmente cuentas desechables, los investigadores identificaron al menos 700 cuentas comprometidas pertenecientes a desarrolladores de software legítimos.

Reaparición tras los brotes del verano anterior

Esta actividad reciente representa un aumento significativo con respecto a las tácticas observadas a principios de año. La empresa de seguridad Island informó en julio que FakeGit había impulsado 7 600 repositorios maliciosos, de los cuales 800 se hacían pasar por capacidades de inteligencia artificial o servidores de Protocolo de Contexto de Modelo (MCP) incluidos en registros públicos de IA. En lugar de construir una infraestructura completamente nueva para la ola de octubre, los atacantes reorientaron sus redes de repositorios existentes al cambiar los destinos de descarga en cuentas establecidas previamente.

Obstáculos para la notificación y retirada de contenido

Los defensores de la plataforma enfrentan continuos desafíos para erradicar esta red debido a técnicas de alojamiento fragmentadas. Apiiro señaló que el 71 % de las URL maliciosas no figuraban en registros de inteligencia de amenazas como URLhaus antes de la publicación de su informe. Además, el bloqueo a nivel de dominio no puede dirigirse a archivos individuales de GitHub sin interrumpir el servicio general. Los operadores mantienen copias de respaldo en bifurcaciones de repositorios, recursos de publicaciones, archivos adjuntos en incidencias y archivos antiguos, lo que permite actualizar rápidamente las redirecciones cada vez que se elimina un enlace de descarga.

Recomendaciones de mitigación para desarrolladores

Los investigadores de seguridad recomiendan inspeccionar la propiedad de los repositorios y obtener herramientas de IA o servidores MCP exclusivamente a través de canales de proveedores verificados y registros oficiales. Si ocurre una infección por SmartLoader, las organizaciones deben asumir que la cuenta de GitHub subyacente ha sido comprometida, invalidar de inmediato las sesiones activas y los tokens de acceso, y realizar la transición a la autenticación mediante claves de acceso.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: FakeGit malware campaign returns with 17,610 malicious GitHub repos