FakeGit-kampanja: 7 600 väärennettyä GitHub-repositoriota huijasivat tekoälyagentteja levittämään haittaohjelmia

Aktiivisena ainakin maaliskuusta 2025 lähtien ja yhden vietnaminkielisen toimijan ylläpitämä kampanja loi lähes 7 600 haitallista GitHub-repositoriota, joista yli 800 oli naamioitu tekoälytaidoiksi (AI Skills) tai Model Context Protocol (MCP) -palvelimiksi – juuri niiksi komponenteiksi, joita agentit kuten Claude Code, Gemini CLI ja ChatGPT etsivät ja suosittelevat. Heinäkuuhun 2026 mennessä GitHubin latauslaskurit olivat kirjanneet yli 14 miljoonaa tapahtumaa kampanjan tiedostoille.

Mikä on AgentBaiting?

AgentBaiting on toimitusketjuhyökkäys, joka kohdistuu tekoälyagentin luottamusmalliin. Sen sijaan, että uhrien pitäisi itse eksyä haitallisille linkeille, hyökkääjät suunnittelivat väärennetyt repositorionsa siten, että tekoälyagentit itse löytävät ja mainostavat niitä. Hyökkäysketju toimii seuraavasti:

1. Väärennetyt tekoälytaidot ja MCP-palvelimet: Yli 800 kampanjan repositoriosta esiintyi tekoälytaitoina (agenttien liitännäisinä) tai MCP-palvelimina – komponentteina, joita agentit hakevat autonomisesti, kun käyttäjä pyytää integroimaan työkalun tai palvelun.
2. Listaukset julkisissa tekoälyrekistereissä: Hyökkääjät lisäsivät yli 600 haitallista listausta julkisiin tekoälyrekistereihin ja hakemistoihin varmistaen, että heidän repositorionsa näkyvät agenttien hakutuloksissa.
3. Sosiaalinen manipulointi README-tiedostojen avulla: Haitalliset repositoriot käyttivät kopioituja laillisia projekteja, näköisiä kehittäjäprofiileja ja vakuuttavia README-tiedostoja, joiden ohjeita tekoälyagentit luottavat ja välittävät eteenpäin käyttäjille.
4. Autonominen suosittelu: Kun kehittäjä pyysi agenttia löytämään työkalun tai alustamaan projektin, agentti etsi verkosta, löysi yhden väärennetyistä repositorioista, luki README-tiedoston ja esitteli asennusohjeet – mukaan lukien haittaohjelman latauksen – hyödyllisenä suosituksena.

Island Securityn johtava tutkija Oleg Zaytsev kuvasi muutosta: "Se, mikä rakennettiin huijaamaan ihmisiä, huijaa nyt myös tekoälyagentteja".

Haittaohjelmien lastit: SmartLoader ja StealC

FakeGit-kampanja käytti kaksivaiheista haittaohjelmaketjua:

• SmartLoader: Ensimmäinen väärennettyjen repositorioiden toimittama lasti. Se on monivaiheinen LuaJIT-pohjainen lataaja, joka luo pysyvyyden järjestelmään, noutaa salattuja vaiheita ja suorittaa ne muistissa.
• StealC: Varsinainen hyötykuorma. Tietoja varastava haittaohjelma, joka kerää tunnistetietoja, API-avaimia, selaintietoja ja muuta arkaluontoista tietoa vaarannetuista Windows-järjestelmistä.

Operaation laajuus (heinäkuu 2026)

Huom: 14 miljoonan latauksen määrä heijastaa kaikkia GitHubin laskureiden tallentamia tapahtumia kampanjan tiedostoille, mikä saattaa sisältää automaattisia pyyntöjä.

Tutkijoiden suosittelemat suojautumistoimet yrityksille

Island Securityn analyysin ja muiden tietoturvatutkijoiden raporttien perusteella keskeiset puolustuskeinot ovat:

1. Ylläpidä kuratoitua, hyväksyttyä luetteloa tekoälytaidoista, MCP-palvelimista ja agenttilaajennuksista. Salli agenttien asentaa vain komponentteja tästä sallitusta listasta. Dokumentoi alkuperä, omistaja, repositorio, commit-hajautusarvo ja versio jokaiselle merkinnälle.

2. Eristä uudet agenttikapasiteetit. Ennen kuin otat käyttöön uuden tekoälytaidon tai MCP-palvelimen koko organisaatiossa, arvioi se eristetyssä, valvotussa ympäristössä.

3. Varmista julkaisijan ja projektin luotettavuus. Tarkista julkaisijan henkilöllisyys, tilin ikä ja projektihistoria ennen kuin luotat kolmannen osapuolen tekoälyliitännäiseen. Kohtele korkean tähditys- ja latausmäärän repositorioita potentiaalisesti pelattuina.

4. Valvo agenttipolkuja. Ota käyttöön valvonta tekoälyagenttien ulospäin suuntautuville pyynnöille ulkoisiin repositorioihin, erityisesti GitHubin raakasisällön latauksille, jotka poikkeavat vakiintuneista kehittäjäperusteista.

5. Rajoita autonomista agenttikäyttäytymistä. Määritä tekoälyagentit vaatimaan käyttäjän vahvistus ennen uusien työkalujen asentamista, komentorivikomentojen suorittamista README-ohjeista tai ulkoisten pakettien lataamista.

6. Toteuta tiukat egress-valvonnat. Rajoita mitä päätepisteitä tekoälyagenttien infrastruktuuri voi tavoittaa ja ylläpidä sallittujen lähteiden listaa koodin ja pakettien latauksille.

7. Kohtele julkisia tekoälyrekistereitä epäluotettavina. Oleta, että agentin julkisesta rekisteristä löytämä komponentti voi olla haitallinen, kunnes se on vahvistettu hyväksytyn luettelon kautta.