Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
FakeGit to rozbudowana kampania malware, w której cyberprzestępcy publikują fałszywe repozytoria na GitHubie, aby nakłonić użytkowników do pobrania złośliwych plików podszywających się pod legalne narzędzia, projekty programistyczne i komponenty AI. Celem operacji jest dostarczenie loadera SmartLoader, który następnie pobiera kolejne elementy łańcucha infekcji, w tym stealera StealC.
Na szczególną uwagę zasługuje sposób przygotowania infrastruktury kampanii. Atakujący zadbali o to, by złośliwe zasoby wyglądały wiarygodnie nie tylko dla programistów, lecz także dla agentów AI analizujących publiczne repozytoria, opisy projektów i katalogi narzędzi.
W skrócie
Kampania objęła około 7 600 złośliwych repozytoriów, które wygenerowały ponad 14 milionów zdarzeń pobrania według publicznych liczników wydań. Ponad 800 repozytoriów podszywało się pod narzędzia AI i serwery MCP, a setki z nich pojawiały się dodatkowo w publicznych katalogach oraz rejestrach.
- fałszywe repozytoria imitowały legalne projekty i znane technologie,
- złośliwe archiwa ZIP uruchamiały SmartLoader,
- malware uzyskiwało trwałość i pobierało konfigurację C2,
- końcowym ładunkiem był stealer StealC,
- kampania wykorzystywała technikę „agentbaiting”, aby zwiększyć widoczność w ekosystemie AI.
Kontekst / historia
Według ustaleń badaczy FakeGit stanowi rozwinięcie wcześniejszych działań przypisywanych aktorowi zagrożeń śledzonemu jako Water Kurita. Poprzednie operacje tej grupy były wiązane z dystrybucją infostealera Lumma, natomiast obecna kampania przesunęła nacisk na fałszywe projekty developerskie i narzędzia związane ze sztuczną inteligencją.
Nowy etap aktywności miał wyraźnie przyspieszyć w marcu 2026 roku, a kulminacja przypadła na kwiecień 2026 roku. W tym okresie odnotowano intensywne tworzenie repozytoriów związanych z agentami AI, workflow automatyzacji i serwerami MCP, co wskazuje na celowe wykorzystanie rosnącego zainteresowania tym segmentem rynku.
Istotnym elementem kampanii było także podszywanie się pod rozpoznawalne marki i popularne rozwiązania technologiczne. Opisy projektów, dokumentacja oraz metadane były przygotowane tak, by zwiększyć wiarygodność i ułatwić pozycjonowanie złośliwych zasobów w wynikach wyszukiwania oraz katalogach.
Analiza techniczna
Od strony technicznej atak opierał się na połączeniu socjotechniki z nadużyciem zaufania do publicznych repozytoriów kodu. Fałszywe projekty zawierały przekonujące pliki README, skopiowane opisy, sfabrykowane oznaki popularności oraz nazwy przypominające legalne konta deweloperskie. Ofiara otrzymywała instrukcję pobrania archiwum ZIP, które rzekomo zawierało instalator lub wydanie aplikacji.
W praktyce pobrany plik uruchamiał ładunek maskowany jako legalny komponent, inicjujący działanie SmartLoadera. Po aktywacji malware ustanawiało mechanizmy persistence, między innymi z wykorzystaniem zaplanowanych zadań systemowych, a następnie pobierało konfigurację serwera C2. Według opisu kampanii adres infrastruktury sterującej miał być pozyskiwany z użyciem smart kontraktu w sieci Polygon, co utrudnia prostą neutralizację zaplecza ataku.
Kolejny etap obejmował pobieranie dodatkowych, szyfrowanych komponentów z GitHuba. Taka architektura pozwalała operatorom elastycznie modyfikować łańcuch infekcji i rozdzielać jego etapy. SmartLoader odpowiadał za uruchomienie i komunikację, natomiast końcowy stealer StealC realizował właściwy cel operacyjny, czyli kradzież danych.
Szczególnie niebezpieczny jest aspekt określany jako „agentbaiting”. Repozytoria były optymalizowane pod kątem widoczności dla agentów AI analizujących README, katalogi narzędzi i publiczne rejestry. W efekcie złośliwy projekt mógł zostać błędnie uznany za wartościowy komponent i zarekomendowany użytkownikowi lub zespołowi technicznemu.
Konsekwencje / ryzyko
Ryzyko związane z kampanią FakeGit ma charakter wielowarstwowy. Atak bezpośrednio wykorzystuje zaufanie do platform open source, przez co może być skuteczny wobec programistów, administratorów, analityków bezpieczeństwa oraz zespołów testujących nowe narzędzia AI.
Dla organizacji najpoważniejszym skutkiem może być kradzież danych uwierzytelniających, sekretów i informacji operacyjnych przez StealC. Kompromitacja stacji roboczej dewelopera może otworzyć drogę do przejęcia dostępu do repozytoriów prywatnych, systemów CI/CD, środowisk chmurowych, komunikatorów firmowych czy paneli administracyjnych.
Warto jednocześnie zaznaczyć, że ponad 14 milionów zdarzeń pobrania nie oznacza automatycznie takiej samej liczby skutecznych infekcji. Publiczne liczniki mogą obejmować wielokrotne żądania oraz ruch automatyczny. Mimo to skala widoczności kampanii pokazuje, że atakujący skutecznie zatruwali procesy wyszukiwania i rekomendacji technologicznych.
Rekomendacje
Organizacje powinny wdrożyć ścisły model dopuszczania zewnętrznych repozytoriów, bibliotek i narzędzi AI do użytku wewnętrznego. Każdy nowy komponent powinien być oceniany pod kątem reputacji, pochodzenia i zasad bezpieczeństwa przed dopuszczeniem do środowiska pracy.
- utrzymywać zatwierdzoną listę repozytoriów, integracji i serwerów MCP,
- testować nowe narzędzia wyłącznie w środowiskach izolowanych,
- blokować uruchamianie niezweryfikowanych archiwów i skryptów,
- monitorować tworzenie zaplanowanych zadań i nietypowe pobrania z repozytoriów publicznych,
- ograniczyć możliwość samodzielnego klonowania oraz uruchamiania niezweryfikowanych projektów przez agentów AI.
Z perspektywy reagowania na incydenty kluczowe znaczenie ma szybka rotacja wszystkich sekretów dostępnych z poziomu podejrzanego hosta. Dotyczy to haseł, tokenów API, kluczy SSH, sekretów CI/CD oraz danych dostępowych do chmury. Równolegle należy przeprowadzić analizę śledczą systemu, sprawdzić mechanizmy persistence i ocenić ryzyko dalszego ruchu bocznego.
Podsumowanie
FakeGit pokazuje, że ekosystem open source oraz narzędzi AI stał się pełnoprawnym polem działania cyberprzestępców. Atakujący nie ograniczają się już do publikowania pojedynczych próbek malware, lecz budują całe otoczenie wiarygodności obejmujące repozytoria, dokumentację, wpisy w katalogach i treści przygotowane z myślą o systemach automatycznej rekomendacji.
Dla zespołów bezpieczeństwa oznacza to konieczność traktowania publicznych repozytoriów i narzędzi AI z taką samą ostrożnością jak każdego innego zewnętrznego oprogramowania. Niezależna weryfikacja źródeł, izolacja testów i szybka reakcja na oznaki kompromitacji pozostają podstawą skutecznej obrony.
Źródła
- BleepingComputer – FakeGit campaign uses 7,600 GitHub repos to push SmartLoader malware — https://www.bleepingcomputer.com/news/security/fakegit-campaign-uses-7-600-github-repos-to-push-smartloader-malware/
- Island – Security research referenced in the report on FakeGit and AgentBaiting — https://www.island.io/
- Trend Micro – Prior research on related activity attributed to Water Kurita — https://www.trendmicro.com/