FakeGit: ШІ-агенти поширюють SmartLoader/StealC через GitHub

Нова тактика AgentBaiting: ШІ-агенти під прицілом

Зловмисники активно використовують нову тактику, названу "AgentBaiting", для поширення шкідливого програмного забезпечення через GitHub. Вони створили близько 7600 фейкових репозиторіїв, які видають себе за ШІ-навички або сервери Model Context Protocol (MCP), щоб обманом змусити ШІ-асистентів для кодування завантажувати шкідливе ПЗ.

Дослідники Island виявили, що такі моделі, як Claude Code від Anthropic, Gemini від Google та ChatGPT від OpenAI, можуть автономно знаходити ці шкідливі репозиторії та пропонувати їх як легітимні варіанти. Це відбувається, коли розробник відправляє ШІ-агента автономно шукати потрібні компоненти в репозиторіях GitHub.

Олег Зайцев, провідний дослідник безпеки в Island, зазначив, що ця тактика "ввела усталену шкідливу операцію в робочі процеси, які люди та агенти використовують для виявлення та встановлення нових можливостей ШІ". За його словами, ШІ-агент може самостійно виявити репозиторій кампанії, сприйняти README зловмисника як легітимну документацію та передати інструкції зі встановлення користувачеві.

Масштаби кампанії та механізм зараження

Кампанія FakeGit, яка разом зі SmartLoader роками переслідує розробників, тепер інтегрувала ШІ у свої схеми. Близько 7600 шкідливих репозиторіїв на GitHub були створені приблизно 6600 профілями. З них близько 1400 профілів пов'язані з ШІ-інструментами, агентами або робочими процесами, а понад 800 видають себе за навички або сервери MCP, що охоплюють такі середовища, як Gmail, інтеграції WhatsApp, Databricks, Jenkins та Docker.

ШІ-орієнтована частина кампанії швидко зростала, починаючи з березня та досягнувши піку у квітні, коли було створено майже 300 таких ШІ-пов'язаних репозиторіїв. Ці репозиторії були розроблені так, щоб відповідати попиту на ШІ-можливості, запозичуючи назви та робочі процеси знайомих споживчих та корпоративних інструментів.

Якщо обрано фейковий репозиторій, кнопка "Download Latest Release" (Завантажити останній випуск) направляє розробника до шкідливого ZIP-архіву. Цей архів містить інструкції для завантаження, розпакування та запуску програми, що ініціює ланцюжок атаки. Він починається з сильно обфускованого Lua-корисного навантаження розміром 300 КБ, замаскованого під текстовий, іконний, ліцензійний або файловий файл даних.

Ланцюжок шкідливого ПЗ SmartLoader/StealC

Після початкового завантаження розгортається SmartLoader, який потім встановлює StealC. Це шкідливе ПЗ здатне викрадати широкий спектр інформації, включаючи паролі браузера та дані розширень, файли cookie, активні сесії, скріншоти, інформацію про хост, а також облікові дані електронної пошти та віддаленого доступу.

Зайцев підкреслив, що сам ланцюжок шкідливого ПЗ є знайомим, але "змінюється шлях, який веде до виконання". Цей шлях полягає у використанні автономних можливостей ШІ-агентів. Агенту не потрібно надавати шкідливе посилання; натомість він може сам виявити репозиторій FakeGit, сприйняти файл README як легітимний і передати інструкції зловмисника користувачеві.

Тестування та висновки

Дослідники Island протестували цю схему за допомогою асистента розробника Claude Code. Модель шукала в Інтернеті, переходила за результатами через ринок MCP та GitHub, відкриваючи два репозиторії: один доброякісний, інший – репозиторій FakeGit у категорії шкідливих навичок. Claude Code рекомендував доброякісний репозиторій, але також розглядав шкідливий як легітимну альтернативу. В інших спробах ШІ-модель виявляла шкідливий вміст і не рекомендувала його. Подібні результати показали тести з Gemini та ChatGPT.

Зайцев наголосив, що операторам FakeGit не потрібно було здійснювати жодних зламів. Вони "опублікували переконливі репозиторії, запозичили ідентичності реальних розробників, поширили свої списки в публічних реєстрах і дозволили виявленню зробити все інше". З AgentBaiting виявлення більше не вимагає участі людини взагалі.

Що це означає для розробників

Розробникам необхідно бути особливо пильними: перевіряти репозиторії та ізолювати нові ШІ-інструменти перед встановленням. Важливо оцінювати кожну нову можливість у ізольованому середовищі, перевіряти видавця та проєкт, а також відстежувати шляхи, якими рухаються ШІ-агенти.

Ключові факти

Зловмисники створили близько 7600 фейкових репозиторіїв на GitHub, що видають себе за ШІ-навички або сервери MCP.
Кампанія використовує тактику "AgentBaiting", обманом змушуючи ШІ-асистентів (Claude Code, Gemini, ChatGPT) автономно знаходити та пропонувати шкідливі репозиторії.
Фейкові репозиторії поширюють ланцюжок шкідливого ПЗ SmartLoader/StealC, яке викрадає паролі, файли cookie, сесії, скріншоти та інші конфіденційні дані.
Кампанія не зламувала GitHub, а експлуатує ШІ-кероване виявлення програмного забезпечення.
ШІ-орієнтована частина кампанії швидко зростала з березня по квітень, коли було створено близько 300 ШІ-пов'язаних репозиторіїв.