Campanha FakeGit Utiliza Repositórios do GitHub para Distribuir Malware SmartLoader via AgentBaiting

Pesquisadores identificaram quase 7.600 repositórios maliciosos, incluindo servidores falsos do MCP, projetados para enganar agentes de IA e usuários, implantando o loader SmartLoader e o infostealer StealC.

Componente	Repositórios maliciosos no GitHub (FakeGit), arquivos ZIP troianizados, servidores MCP falsos e agentes de IA autônomos.
Vetor	Engenharia social contra agentes de IA (AgentBaiting) e usuários, induzindo o download e execução de arquivos ZIP contendo scripts Lua maliciosos.
Impacto	Execução de código arbitrário via LuaJIT, instalação persistente do malware SmartLoader e subsequente roubo de dados sensíveis pelo infostealer StealC.
Prioridade	Auditoria imediata de dependências e habilidades de IA, bloqueio de registros não verificados e monitoramento de execuções não autorizadas de LuaJIT.

Resumo técnico

Uma operação de larga escala, batizada de FakeGit, foi exposta após a identificação de aproximadamente 7.600 repositórios maliciosos hospedados no GitHub. Destes, mais de 800 foram disfarçados para simular habilidades de inteligência artificial ou servidores do Protocolo de Contexto de Modelo (MCP). O objetivo principal dessa infraestrutura é distribuir uma família de malware conhecida como SmartLoader, que serve como porta de entrada para cargas secundárias, como o infostealer StealC. A campanha utiliza perfis de desenvolvedores clonados e arquivos README altamente convincentes para legitimar a entrega de payloads maliciosos.

O diferencial técnico desta campanha é a evolução para uma técnica denominada AgentBaiting, que explora a autonomia de agentes de IA. Ao contrário dos vetores tradicionais que visam enganar apenas o usuário humano, o AgentBaiting configura repositórios para serem descobertos e processados por agentes de IA que buscam funcionalidades específicas. Modelos como Claude Code, Google Gemini e ChatGPT demonstraram susceptibilidade a essa técnica, recuperando e executando instruções maliciosas contidas nos repositórios sem a intervenção direta de um operador, transformando a rotina de descoberta automatizada em um vetor de execução de código.

Fluxo técnico

A cadeia de ataque começa com a criação de repositórios falsos que imitam projetos legítimos ou ferramentas populares, muitas vezes copiando o código original e adicionando artefatos maliciosos. Estes repositórios são promovidos como soluções para integrações com Gmail, WhatsApp, Databricks, Jenkins e Docker. Quando um usuário ou, de forma mais crítica, um agente de IA interage com o repositório, é induzido a baixar um arquivo ZIP presente nos releases do projeto.

Uma vez extraído, o arquivo ZIP aciona uma cadeia de carregamento baseada em LuaJIT. O script ofuscado contido no arquivo é executado, resultando no download e na instalação do SmartLoader. Este(loader) estabelece persistência no sistema comprometido e se comunica com servidores de comando e controle para baixar a carga útil final, frequentemente o StealC. O StealC é projetado para coletar uma ampla gama de dados, incluindo credenciais armazenadas em navegadores, carteiras de criptomoedas e informações de sistema, exfiltrando-as para o atacante.

Superficie afetada

A campanha afeta diretamente desenvolvedores e equipes de engenharia que utilizam repositórios públicos do GitHub como fonte de dependências ou scripts de automação. A superfície se expande significativamente para ambientes corporativos que adotam IA generativa e agentes autônomos para auxiliar em tarefas de desenvolvimento, pois estes agentes podem interagir com o código malicioso de forma autônoma. Ferramentas de CI/CD que baixam e executam scripts de fontes não verificadas também estão em risco alto.

Registries públicos de habilidades de IA e servidores MCP, como LobeHub, Glama, MCP.so e MCP Market, foram utilizados para conceder uma falsa sensação de legitimidade aos artefatos maliciosos. Mais de 600 listagens de campanha foram sinalizadas nessas plataformas. A análise indica que os perfis maliciosos criados para hospedar esses repositórios somam cerca de 6.600, indicando uma infraestrutura massiva dedicada à engenharia social e ao envenenamento de suprimento de software.

• Repositórios no GitHub contendo arquivos ZIP não verificados em releases.
• Agentes de IA (Claude, Gemini, ChatGPT) com permissão para buscar e sugerir ferramentas externas.
• Ambientes de desenvolvimento que executam scripts LuaJIT sem validação de assinatura.
• Integrações de MCP para ferramentas corporativas (Databricks, Jenkins) de publishers desconhecidos.

Hunting e telemetria

A detecção dessa ameaça requer monitoramento específico comportamental em endpoints e na camada de rede. Equipes de segurança devem procurar por instâncias de processos LuaJIT sendo iniciados a partir de diretórios de usuário ou de downloads temporários, especialmente se o processo pai for um cliente de Git ou um terminal de comando. A presença de arquivos ZIP baixados de repositórios do GitHub com assinaturas digitais ausentes ou inválidas serve como um forte indicador de comprometimento.

No nível de rede, a telemetria deve identificar conexões de saída para domínios suspeitos ou recém-registrados estabelecidos por processos que não привычно trafegam na web, como scripts de interpretação. É crucial auditar os logs de interação de agentes de IA dentro da empresa, buscando por comandos onde o agente recomenda a clonagem de repositórios ou o download de recursos de links não verificados, especialmente se o repositório tiver poucas estrelas, fork zero ou data de criação recente.

• Execução de processos luajit.exe ou luajit fora de diretórios de aplicação legítimos.
• Logs de segurança indicando downloads de artefatos do GitHub provenientes de contas recém-criadas ou com baixa reputação.
• Atividade de agente de IA retornando instruções de instalação que envolvem curl ou wget apontando para domínios externos.
• Tentativas de acesso a credenciais de navegador ou carteiras cripto por processos desconhecidos.

Mitigação

A contenção desta ameaça depende de controles rígidos sobre o uso de código externo e da governança de agentes de IA. Organizações devem implementar catálogos internos de habilidades, servidores MCP e plugins de agentes que tenham sido previamente revisados e aprovados. A avaliação de novas capacidades de agentes deve ser realizada em ambientes isolados (sandbox) com monitoramento estrito de rede antes de qualquer implantação mais ampla na infraestrutura de produção.

Além disso, políticas de segurança devem exigir a verificação tanto do editor quanto do projeto antes da utilização de qualquer dependência. Ferramentas de DevSecOps devem estar configuradas para bloquear automaticamente o download de artefatos de repositórios que não cumpram critérios mínimos de confiança, como idade do projeto, número de mantenedores e verificação de identidade. O monitoramento contínuo dos caminhos agênticos (agentic pathways) é essencial para interromper a cadeia de ataque antes da execução do payload.

• Criação de lista de permissões (allowlist) para repositórios GitHub e registrantes de MCP.
• Restrição de permissões de execução para scripts baixados da internet, exigindo assinatura digital válida.
• Implementação de sandboxes para todas as operações de descoberta e instalação realizadas por agentes de IA.
• Auditoria regular de dependências em busca de packages ou scripts que utilizem loaders como LuaJIT de forma não padrão.