FakeGit 活动利用 7600 个 GitHub 代码库推送 SmartLoader 恶意软件

TtTeam

2026年10月20日 08:56
广东

去阅读

以下文章来源于威胁情报Z分析
，作者Z

威胁情报Z分析
.

国际网络安全威胁情报，地缘政治事件分析。

一项名为“FakeGit”的大规模行动正在通过 7600 个恶意 GitHub 存储库推送 SmartLoader 和 StealC 恶意软件，累计下载量超过 1400 万次。

超过 800 个代码库伪装成 AI 技能或 MCP 服务器，并在公共 AI 注册中心和目录中出现了 600 多次。这增加了被 AI 代理和开发者发现的可能性，研究人员将这种技术称为“代理诱饵”。

该攻击活动被认为是之前使用 Lumma Stealer 的攻击活动的延续，网络安全公司趋势科技的研究人员将其归咎于名为“Water Kurita”的威胁行为者。

据企业浏览器平台 Island 的研究人员称，人工智能的关注点在 3 月份引入，并在 4 月份达到顶峰，当时创建了 300 个与人工智能工具相关的 GitHub 存储库。

研究人员发现，FakeGit 已经发展到 1400 多个与 AI 工具、代理和工作流程相关的存储库，所有这些存储库都链接到 SmartLoader 或 StealC 恶意软件下载。

许多代码库模仿了 Gmail、WhatsApp、Databricks、Jenkins 和 Docker 等消费者和企业工具，并包含令人信服的文档、捏造的 star 数和 fork 数、复制的项目描述以及真实的开发者帐户名称。

他们的 README 文件引导访问者下载 ZIP 压缩包，这些压缩包伪装成安装程序或项目发布版本，但实际上是伪装的 Lua 有效载荷，会触发 SmartLoader。

SmartLoader 激活后，会通过计划任务建立持久性，通过 Polygon 智能合约检索其命令与控制 (C2) 地址，并从 GitHub 下载其他加密阶段，最终交付StealC 信息窃取器。

诱饵攻击技巧

Island 的研究人员表示，这些恶意存储库是他们称之为 AgentBaiting 的一种新兴技术的一部分，旨在提高它们对 AI 代理的可见性，并提高被利用的机会。

在典型情况下，代理可能会将 README 内容解析为合法文档，并向人工操作员推荐存储库或 ZIP 文件。

在 Island 的测试中，当被要求执行相关任务时，ChatGPT、Gemini 和 Claude 会显示各种恶意存储库，有时还会传递安装说明。

Island 在公共注册和目录中发现了 600 多个与 FakeGit 活动相关的技能和 MCP 服务器列表。其中一些包括 LobeHub、Glama、MCP.so 和 MCP Market，这表明该行动已经渗透到生态系统中，并污染了公共资源。

研究人员无法确定列表是手动提交的还是自动索引的，但他们表示，列表的存在使存储库更容易被发现，并增加了存储库的可信度。

Island 的研究人员告诉 BleepingComputer，在有限的受控测试中，Claude Code 克隆了恶意存储库，并将恶意文件下载到测试机器上。

然而，该代理随后检测到可疑迹象，并在执行前停止了。

这些测试并非旨在确定检测率，因此无法提供关于编码代理是否能够在执行阶段持续识别危险的最终结果。

关于此次活动的更广泛影响，Island 报告称，GitHub 的公开下载计数器显示，211 个 GitFake 存储库中的 335 个独特的 Release 资源累计下载事件达 14,084,688 次。

Island 的首席安全研究员 Oleg Zaytsev 澄清说，这个数字包括重复请求和自动化活动，因此不应将其解释为感染。

Island 建议各组织维护经批准的技能目录和 MCP 服务器，在隔离环境中测试新功能，并独立验证发布者和存储库。

如果怀疑使用了 SmartLoader，则应立即轮换受影响环境中的所有密钥。