Kampanye FakeGit: 7.600 Repositori Palsu GitHub Menjerat AI Coding Agents untuk Sebarkan Malware

Aktif sejak setidaknya Maret 2025 dan dikaitkan dengan satu operator berbahasa Vietnam, kampanye ini menggunakan hampir 7.600 repositori GitHub berbahaya, di mana lebih dari 800 di antaranya menyamar sebagai AI Skills atau server Model Context Protocol (MCP)—komponen yang persis dicari dan direkomendasikan oleh agen seperti Claude Code, Gemini CLI, dan ChatGPT. Hingga Juli 2026, penghitung unduhan GitHub mencatat lebih dari 14 juta event yang terkait dengan file kampanye ini.

Apa Itu AgentBaiting?

AgentBaiting adalah serangan rantai pasokan pada model kepercayaan agen AI. Alih-alih mengandalkan korban untuk menemukan tautan berbahaya secara tidak sengaja, para penyerang merekayasa repositori palsu mereka untuk ditemukan dan dipromosikan oleh agen AI itu sendiri. Rantai serangan bekerja sebagai berikut:

1. AI Skills dan MCP servers palsu: Lebih dari 800 repositori kampanye ini menyamar sebagai AI Skills (plugin untuk coding agents) atau server MCP—komponen yang secara otonom dicari oleh agen saat pengguna meminta untuk mengintegrasikan alat atau layanan.
2. Daftar di registry AI publik: Penyerang menempatkan lebih dari 600 daftar berbahaya di registry dan direktori AI publik, memastikan repositori mereka muncul di hasil pencarian agen.
3. Rekayasa sosial melalui README: Repositori berbahaya menggunakan proyek sah yang disalin, profil pengembang tiruan, dan file README yang meyakinkan dengan instruksi yang akan dipercaya dan diteruskan oleh agen AI kepada pengguna.
4. Rekomendasi otonom: Saat seorang developer meminta agen untuk menemukan alat atau menginisialisasi proyek, agen akan mencari di web, menemukan salah satu repositori palsu ini, membaca README, dan menyajikan instruksi instalasi—termasuk unduhan malware—sebagai rekomendasi yang membantu.

Peneliti utama Island Security, Oleg Zaytsev, menggambarkan pergeseran ini: "Apa yang dibangun untuk menipu manusia kini juga menipu agen AI".

Muatan Malware: SmartLoader dan StealC

Kampanye FakeGit menggunakan rantai malware dua tahap:

• SmartLoader: Muatan awal yang dikirimkan oleh repositori palsu. Ini adalah loader berbasis LuaJIT multi-tahap yang membangun persistensi pada sistem, mengambil tahap muatan terenkripsi, dan menjalankannya di memori.
• StealC: Muatan akhir. Sebuah malware pencuri informasi yang mengeksfiltrasi kredensial, kunci API, data peramban, dan informasi sensitif lainnya dari sistem Windows yang dikompromikan.

Skala Operasi (per Juli 2026)

Catatan: Jumlah unduhan 14 juta+ mencerminkan semua event yang dicatat oleh penghitung GitHub untuk file kampanye, yang mungkin mencakup permintaan otomatis serta unduhan pengguna asli.

Mitigasi yang Direkomendasikan Peneliti untuk Perusahaan

Berdasarkan analisis Island Security dan laporan dari tim 0din Mozilla serta peneliti keamanan lainnya, pertahanan utama adalah:

1. Kelola katalog AI Skills, MCP servers, dan ekstensi agen yang telah disetujui. Hanya izinkan agen untuk menginstal komponen dari daftar yang telah disahkan ini. Dokumentasikan asal, pemilik, repositori, hash commit, dan versi untuk setiap entri.

2. Sandbox kemampuan agen baru. Sebelum menerapkan AI Skill atau MCP server baru ke seluruh organisasi, evaluasi di lingkungan yang terisolasi dan terkendali.

3. Verifikasi identitas penerbit dan integritas proyek. Periksa identitas penerbit, usia akun, dan riwayat proyek sebelum mempercayai plugin AI pihak ketiga. Perlakukan repositori dengan bintang/unduhan tinggi sebagai yang mungkin telah dimanipulasi.

4. Pantau jalur agentik. Terapkan pemantauan untuk permintaan keluar dari agen AI ke repositori eksternal, terutama unduhan konten mentah dari GitHub yang berada di luar basis pengembang yang telah ditetapkan.

5. Batasi perilaku agen otonom. Konfigurasikan AI coding agents untuk meminta konfirmasi pengguna sebelum menginstal alat baru, menjalankan perintah shell dari instruksi README, atau mengunduh paket eksternal.

6. Terapkan kontrol lalu lintas keluar yang ketat. Batasi titik akhir yang dapat dijangkau oleh infrastruktur agen AI, dan pertahankan daftar izin "sumber yang disetujui" untuk unduhan kode dan paket.

7. Anggap registry AI publik sebagai tidak tepercaya. Asumsikan komponen apa pun yang ditemukan oleh agen dari registry publik mungkin berbahaya hingga diverifikasi melalui katalog yang disetujui.