Campanha FakeGit retorna com 17.610 repositórios maliciosos no GitHub

A operação de malware FakeGit retornou com uma campanha automatizada massiva, implantando 17.610 repositórios maliciosos no GitHub para espalhar o carregador SmartLoader. De acordo com descobertas da plataforma de segurança de cadeia de suprimentos de software Apiiro, a campanha retomou suas atividades em 4 de outubro e cresceu rapidamente, publicando mais de 13.000 repositórios em apenas 34 horas e atingindo um pico de 2.999 atualizações de repositórios por hora.

READMEs armados e contas comprometidas

A análise da Apiiro mostra que o ataque depende fortemente de modificações simples em vez de alterações complexas de código. Nas confirmações de alterações (commits) amostradas, 97 por cento modificaram apenas o arquivo README do projeto, enquanto 88 por cento direcionaram o botão de download do README para um arquivo ZIP projetado para executar o SmartLoader. Uma vez implantado, o SmartLoader entrega cargas úteis secundárias, incluindo o roubador de informações StealC. Embora os operadores por trás do FakeGit usem predominantemente contas descartáveis, pesquisadores identificaram pelo menos 700 contas comprometidas pertencentes a desenvolvedores legítimos de software.

Ressurgimento após surtos anteriores no meio do ano

Essa atividade recente marca uma expansão significativa das táticas observadas anteriormente no ano. A empresa de segurança Island relatou em julho que o FakeGit havia impulsionado 7.600 repositórios maliciosos, dos quais 800 se disfarçavam de habilidades de inteligência artificial ou servidores do Protocolo de Contexto de Modelo (MCP) listados em registros públicos de IA. Em vez de criar uma infraestrutura totalmente nova para a onda de outubro, os atacantes redirecionaram frotas de repositórios existentes ao trocar os alvos de download em contas estabelecidas anteriormente.

Obstáculos no alerta e na remoção de conteúdo

Os defensores da plataforma enfrentam desafios persistentes para erradicar a frota devido a técnicas de hospedagem fragmentadas. A Apiiro destacou que 71 por cento dos URLs maliciosos não constavam em registros de inteligência de ameaças como o URLhaus antes de seu relatório. Além disso, o bloqueio em nível de domínio não consegue direcionar arquivos individuais do GitHub sem interromper o serviço como um todo. Os operadores mantêm cópias de segurança em ramificações (forks) de repositórios, recursos de lançamentos, anexos de problemas e arquivos antigos, permitindo atualizações rápidas de redirecionamento sempre que um único link de download é removido.

Diretrizes de mitigação para desenvolvedores

Pesquisadores de segurança recomendam inspecionar a propriedade dos repositórios e obter ferramentas de IA ou servidores MCP exclusivamente por meio de canais de fornecedores verificados e registros oficiais. Caso ocorra uma infecção pelo SmartLoader, as organizações devem presumir que a conta subjacente do GitHub foi comprometida, invalidar imediatamente sessões ativas e tokens de acesso, e migrar para a autenticação por chave de acesso (passkey).

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: FakeGit malware campaign returns with 17,610 malicious GitHub repos