FakeGit: 7600 falske GitHub-repoer sprer SmartLoader til folk og KI-agenter

7600 falske GitHub-repoer, over 14 millioner nedlastinger og mer enn 800 som utgir seg for å være KI-skills eller MCP-servere: det er omfanget av kampanjen sikkerhetsselskapet Island kaller FakeGit. Ifølge Oleg Zaytsev, sjefsforsker i Island, bruker kampanjen kopierte prosjekter, falske utviklerprofiler og overbevisende README-er til å levere SmartLoader, som igjen henter informasjonstyveren StealC.

Det nye er en vri Island døper AgentBaiting. Når en KI-agent leter etter en skill eller en MCP-server, kan den snuble over et av de falske repoene og følge instruksjonene i README-en uten at et menneske er involvert. Island testet Anthropic Claude Code, Google Gemini og OpenAI ChatGPT, og alle tre foreslo de ondsinnede repoene, selv uten å få en lenke servert.

«Mens den prøver å fullføre en oppgave, kan agenten oppdage et FakeGit-repo på egen hånd, behandle README-en som legitim dokumentasjon og gi angriperens instruksjoner videre til brukeren.» — Island, i rapporten

De 800 falske skill-repoene etterligner alt fra Gmail- og WhatsApp-integrasjoner til Databricks, Jenkins og Docker-verktøy. Angrepskjeden går via en ZIP-fil som trigger en LuaJIT-loader, kjører et obfuskert Lua-skript, slipper SmartLoader og til slutt StealC. For deg som lar en agent installere pakker eller MCP-servere betyr det at agentens egen søk-og-installer-rutine nå er en angrepsflate.

Hva bør du gjøre?

1. Ikke la en KI-agent installere MCP-servere eller skills fra GitHub-repoer den selv har funnet. Verifiser eier, stjernehistorikk og at repoet ikke er en fersk kopi før du kjører noe.

1. Behandle README-instruksjoner en agent henter som utrustet input, ikke som dokumentasjon, og kjør nedlastede ZIP-er i sandkasse mens du ser etter LuaJIT- eller Lua-loadere.