FakeGit-kampagnen: Sådan lokkede 7.600 falske GitHub-repositorier AI-agenter til at anbefale malware

I juli 2026 offentliggjorde forskere fra Island Security en detaljeret rapport om en massiv malware-distributionskampagne med kodenavnet FakeGit. Kampagnens centrale innovation er en teknik kaldet AgentBaiting – en metode der udnytter AI-kodningsagenters hjælpsomhed til at få dem til selvstændigt at opdage og anbefale ondsindede repositorier til brugeren.

Kampagnen har været aktiv siden mindst marts 2025 og er knyttet til en enkelt vietnamesisktalende operatør. Den omfatter næsten 7.600 ondsindede GitHub-repositorier, hvoraf over 800 var forklædt som AI Skills eller Model Context Protocol (MCP)-servere – præcis den type komponenter som kodningsagenterne Claude Code, Gemini CLI og ChatGPT aktivt søger efter og anbefaler. I juli 2026 havde GitHub's downloadtællere registreret over 14 millioner hændelser knyttet til kampagnens filer.

Hvad er AgentBaiting?

AgentBaiting er et supply-chain-angreb på AI-agenters tillidsmodel. I stedet for at afhænge af at ofre klikker på ondsindede links, konstruerede angriberne deres falske repositorier så de finder og promoveres af AI-agenterne selv. Angrebskæden fungerer således:

1. Falske AI Skills og MCP-servere: Over 800 repositorier forklædte sig som AI Skills (plugins) eller MCP-servere – komponenter som agenserne selvstændigt søger efter når en bruger beder om at integrere et værktøj.
2. Lister på offentlige AI-registre: Angriberne placerede over 600 ondsindede lister på offentlige AI-registre og direktorie-r, så repositorierne dukkede op i agenternes søgeresultater.
3. Social engineering via README-filer: De ondsindede repositorier brugte kopierede legitime projekter, look-alike-udviklerprofiler og overbevisende README-filer med instruktioner som AI-agenterne stolede på og videresendte til brugerne.
4. Autonom anbefaling: Når en udvikler bad agenten om at finde et værktøj, gennemsøgte agenten nettet, fandt et af disse falske repositorier, læste README-filen og præsenterede installationsinstruktionerne – inklusive en malware-download – som en hjælpsom anbefaling.

Island Securitys ledende forsker Oleg Zaytsev beskrev skiftet: "Det der var bygget til at narre mennesker, narrer nu også AI-agenter".

Malware-payloads: SmartLoader og StealC

FakeGit-kampagnen anvendte en to-trins malware-kæde:

• SmartLoader: Den indledende payload leveret af de falske repositorier. Det er en flertrins LuaJIT-baseret loader der etablerer persistens på systemet, henter krypterede payload-stadier og eksekverer dem i hukommelsen.
• StealC: Den endelige payload. En informationsstjælende malware der eksfiltrerer legitimationsoplysninger, API-nøgler, browserdata og andre følsomme oplysninger fra kompromitterede Windows-systemer.

Omfanget af operationen (pr. juli 2026)

Metrik	Tal
Ondsindede GitHub-repositorier	~7.600
Falske AI Skills / MCP-server repos	800+
Angriberkontrollerede GitHub-konti	~6.600
Ondsindede lister på AI-registre	600+
Samlede download-hændelser observeret	14 millioner+
Kampagnen aktiv siden	marts 2025
Operatørtilknytning	Enkelt vietnamesisktalende operatør

Bemærk: Download-tallet på 14 millioner+ afspejler alle hændelser registreret af GitHub's tællere for kampagnens filer, hvilket kan omfatte automatiserede forespørgsler såvel som ægte bruger-downloads.

Forskeranbefalede forsvarsforanstaltninger for virksomheder

Baseret på Island Securitys analyse og krydshenvisninger til rapportering fra Mozillas 0din-team og andre sikkerhedsforskere, er de vigtigste forsvarsforanstaltninger:

1. Oprethold en kurateret, godkendt katalog over AI Skills, MCP-servere og agentudvidelser. Tillad kun agenser at installere komponenter fra denne autoriserede liste. Dokumentér oprindelse, ejer, repositorium, commit-hash og version for hver indgang.

2. Sandbox nye agentkapaciteter. Før implementering af en ny AI Skill eller MCP-server i hele organisationen, test den i et isoleret, kontrolleret miljø.

3. Verificer udgiver- og projektintegritet. Krydstjék udgiverens identitet, kontos alder og projekthistorik, før du stoler på et tredjeparts AI-plugin. Behandl repositorier med mange stjerner/downloads som potentielt manipulerede.

4. Overvåg agentiske stier. Implementér overvågning af udgående forespørgsler fra AI-agenter til eksterne repositorier, især rå indholds-downloads fra GitHub der falder uden for etablerede udvikler-baselines.

5. Begræns autonom agentadfærd. Konfigurér AI-kodningsagenter til at kræve brugerbekræftelse før installation af nye værktøjer, kørsel af shell-kommandoer fra README-instruktioner, eller download af eksterne pakker.

6. Anvend strenge egress-kontroller. Begræns hvilke endepunkter AI-agentinfrastruktur kan nå, og oprethold en "godkendte kilder"-hvidliste for kode- og pakke-downloads.

7. Behandl offentlige AI-registre som upålidelige. Antag at enhver komponent opdaget af en agent fra et offentligt register kan være ondsindet, indtil den er verificeret gennem den godkendte katalog.