Chiến dịch FakeGit dùng ~7.600 repo GitHub giả mạo để phát tán SmartLoader
"Researchers uncovered the FakeGit campaign, which used nearly 7,600 malicious GitHub repositories to impersonate AI skills and MCP servers and distribute SmartLoader malware. The attack chain relied on copied projects, convincing READMEs, and malicious ZIP files to drop SmartLoader and then StealC, with an AI-agent targeting technique called AgentBaiting expanding the risk to automated discovery workflows. No CVE was reported; mitigation focuses on reviewing Skills/MCP servers, sandboxing new capabilities, verifying publishers, and monitoring agentic pathways."
Tác động đáng kể đến chuỗi cung ứng phần mềm/AI, vì kẻ tấn công không cần xâm nhập hệ thống mà dựa vào repo giả mạo và AgentBaiting để dẫn agent tới thực thi. SmartLoader có thể mở đường cho StealC và thu thập dữ liệu.
Rủi ro vận hành tăng do khả năng tự động hóa khám phá của đội phát triển/AI agent có thể bị lạm dụng, dẫn tới gián đoạn và chi phí xử lý sự cố. Cần kiểm soát danh mục skill/MCP và quy trình triển khai để giảm thiểu rủi ro lan truyền.
Các nhà nghiên cứu phát hiện chiến dịch FakeGit sử dụng gần 7.600 repository GitHub độc hại (tạo bởi khoảng 6.600 hồ sơ). Trong đó, hơn 800 repo giả mạo các AI Skills hoặc Model Context Protocol (MCP) servers nhằm phân phối malware SmartLoader.
Chuỗi tấn công dựa trên việc kẻ xấu sao chép dự án hợp lệ, dùng hồ sơ nhà phát triển giống thật, nội dung README thuyết phục và tệp ZIP độc hại. Các ZIP này kích hoạt chuỗi nạp (loader) dựa trên LuaJIT, thực thi mã Lua đã bị che giấu để triển khai SmartLoader, sau đó tải thêm payload phụ như StealC (một information stealer thu thập dữ liệu từ hệ thống bị xâm nhập).
Điểm đáng chú ý là cơ chế AgentBaiting: khi một AI agent tìm kiếm skill/MCP server, nó có thể tự phát hiện repo giả mạo, đọc README như tài liệu hợp lệ và “làm theo” hướng dẫn của kẻ tấn công mà không cần người dùng cung cấp link độc hại. Island cho biết các mô hình như Anthropic Claude Code, Google Gemini và OpenAI ChatGPT có thể bị ảnh hưởng.
Khuyến nghị: lập danh mục Skills/MCP servers đã rà soát, chạy thử khả năng agent trong sandbox trước khi mở rộng, xác minh publisher và dự án, đồng thời giám sát các luồng agentic pathways từ khâu khám phá đến thực thi. Không ghi nhận CVE trong báo cáo.