La campagne FakeGit revient avec 17 610 dépôts GitHub malveillants

L'opération malveillante FakeGit est de retour dans le cadre d'une vaste campagne automatisée, déployant 17 610 dépôts malveillants sur GitHub pour propager le téléchargeur SmartLoader. Selon les conclusions de la plateforme de sécurité de la chaîne d'approvisionnement logicielle Apiiro, la campagne a repris son activité le 4 octobre et s'est rapidement développée, publiant plus de 13 000 dépôts en seulement 34 heures et atteignant un pic de 2 999 mises à jour de dépôts par heure.

Des fichiers README piégés et des comptes compromis

L'analyse d'Apiiro montre que l'attaque repose principalement sur de simples modifications plutôt que sur des altérations complexes de code. Dans les commits échantillonnés, 97 % modifiaient uniquement le fichier README du projet, tandis que 88 % dirigeaient le bouton de téléchargement du README vers une archive ZIP conçue pour exécuter SmartLoader. Une fois déployé, SmartLoader livre des charges utiles secondaires, notamment le voleur d'informations StealC. Si les opérateurs derrière FakeGit utilisent en majorité des comptes jetables, les chercheurs ont identifié au moins 700 comptes compromis appartenant à des développeurs de logiciels légitimes.

Une résurgence après les premières vagues estivales

Cette dernière activité marque une expansion importante des tactiques observées plus tôt dans l'année. La société de sécurité Island avait signalé en juillet que FakeGit avait poussé 7 600 dépôts malveillants, dont 800 se faisaient passer pour des compétences d'intelligence artificielle ou des serveurs Model Context Protocol (MCP) répertoriés dans des registres d'IA publics. Au lieu de bâtir une toute nouvelle infrastructure pour la vague d'octobre, les attaquants ont réorienté leurs flottes de dépôts existantes en modifiant les cibles de téléchargement sur des comptes précédemment établis.

Obstacles au signalement et à la suppression

Les équipes de défense des plateformes sont confrontées à des difficultés persistantes pour éradiquer cette flotte en raison de techniques d'hébergement fragmentées. Apiiro a souligné que 71 % des URL malveillantes étaient absentes des registres de renseignement sur les menaces tels que URLhaus avant la publication de son rapport. De plus, un blocage au niveau du domaine ne peut cibler des fichiers GitHub individuels sans perturber l'ensemble du service. Les opérateurs conservent des copies de sauvegarde sur des forks de dépôts, des fichiers de publication, des pièces jointes à des tickets et des fichiers plus anciens, ce qui leur permet de mettre à jour rapidement leurs redirections dès qu'un lien de téléchargement est supprimé.

Recommandations de sécurité pour les développeurs

Les chercheurs en sécurité recommandent d'inspecter la propriété des dépôts et de se procurer des outils d'IA ou des serveurs MCP exclusivement auprès de canaux de fournisseurs vérifiés et de registres officiels. En cas d'infection par SmartLoader, les organisations doivent considérer que le compte GitHub sous-jacent a été compromis, invalider immédiatement les sessions actives ainsi que les jetons d'accès, et adopter une authentification par clé d'accès (passkey).

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: FakeGit malware campaign returns with 17,610 malicious GitHub repos