Kempen FakeGit: 7,600 Repositori Palsu GitHub Perdaya Ejen Pengekodan AI Edarkan Perisian Hasad

Aktif sejak sekurang-kurangnya Mac 2025 dan dikaitkan dengan seorang pengendali tunggal berbahasa Vietnam, kempen ini menggunakan hampir 7,600 repositori GitHub berniat jahat, di mana lebih 800 daripadanya menyamar sebagai AI Skills atau pelayan Model Context Protocol (MCP)—komponen tepat yang dicari dan disyorkan oleh ejen seperti Claude Code, Gemini CLI, dan ChatGPT. Menjelang Julai 2026, kaunter muat turun GitHub mencatatkan lebih 14 juta peristiwa yang dikaitkan dengan fail kempen ini.

Apa Itu AgentBaiting?

AgentBaiting ialah serangan rantaian bekalan ke atas model kepercayaan ejen AI. Daripada bergantung kepada mangsa yang terserempak dengan pautan berniat jahat, penyerang mereka bentuk repositori palsu mereka untuk ditemui dan dipromosikan oleh ejen AI itu sendiri. Rantaian serangan berlaku seperti berikut:

1. AI Skills dan MCP server palsu: Lebih 800 repositori kempen ini menyamar sebagai AI Skills (plugin untuk ejen pengekodan) atau pelayan MCP—komponen yang dicari secara autonomi oleh ejen apabila pengguna meminta untuk menyepadukan alat atau perkhidmatan.
2. Penyenaraian di daftar AI awam: Penyerang menyemai lebih 600 penyenaraian berniat jahat di daftar dan direktori AI awam, memastikan repositori mereka muncul dalam hasil carian ejen.
3. Kejuruteraan sosial melalui README: Repositori berniat jahat menggunakan projek sah yang disalin, profil pembangun yang serupa, dan fail README yang meyakinkan dengan arahan yang akan dipercayai oleh ejen AI dan disampaikan kepada pengguna.
4. Rekomendasi autonomi: Apabila pembangun meminta ejen untuk mencari alat atau memulakan projek, ejen akan mencari di web, menemui salah satu repositori palsu ini, membaca README, dan membentangkan arahan pemasangan—termasuk muat turun malware—sebagai cadangan yang membantu.

Penyelidik utama Island Security, Oleg Zaytsev, menggambarkan peralihan ini: "Apa yang dibina untuk menipu manusia kini turut menipu ejen AI".

Muatan Perisian Hasad: SmartLoader dan StealC

Kempen FakeGit menggunakan rantaian malware dua peringkat:

• SmartLoader: Muatan awal yang dihantar oleh repositori palsu. Ia adalah pemuat berasaskan LuaJIT berbilang peringkat yang menetapkan kegigihan dalam sistem, mendapatkan semula peringkat muatan yang disulitkan, dan melaksanakannya dalam ingatan.
• StealC: Muatan akhir. Sebuah malware pencuri maklumat yang mengeksfiltrasi kelayakan, kunci API, data pelayar, dan maklumat sensitif lain daripada sistem Windows yang terjejas.

Skala Operasi (sehingga Julai 2026)

Nota: Kiraan muat turun 14 juta+ mencerminkan semua peristiwa yang direkodkan oleh kaunter GitHub untuk fail kempen, yang mungkin termasuk permintaan automatik serta muat turun pengguna sebenar.

Mitigasi yang Disyorkan Penyelidik untuk Perusahaan

Berdasarkan analisis Island Security dan laporan daripada pasukan 0din Mozilla serta penyelidik keselamatan lain, pertahanan utama adalah:

1. Kekalkan katalog AI Skills, MCP server, dan sambungan ejen yang diluluskan. Hanya benarkan ejen memasang komponen daripada senarai yang dibenarkan ini. Dokumentasikan asal, pemilik, repositori, hash komit, dan versi untuk setiap entri.

2. Asingkan keupayaan ejen baharu. Sebelum melancarkan sebarang AI Skill atau MCP server baharu kepada organisasi yang lebih luas, nilainya dalam persekitaran terpencil dan terkawal.

3. Sahkan integriti penerbit dan projek. Semak identiti penerbit, umur akaun, dan sejarah projek sebelum mempercayai mana-mana plugin AI pihak ketiga. Anggap repositori berbintang tinggi/muat turun tinggi sebagai berpotensi dimanipulasi.

4. Pantau laluan agentik. Laksanakan pemantauan untuk permintaan keluar daripada ejen AI ke repositori luaran, terutamanya muat turun kandungan mentah daripada GitHub yang berada di luar garis asas pembangun yang ditetapkan.

5. Hadkan tingkah laku ejen autonomi. Konfigurasikan ejen pengekodan AI untuk memerlukan pengesahan pengguna sebelum memasang alat baharu, menjalankan arahan shell daripada arahan README, atau memuat turun pakej luaran.

6. Gunakan kawalan egress yang ketat. Hadkan titik akhir yang boleh dicapai oleh infrastruktur ejen AI, dan kekalkan senarai benarkan "sumber diluluskan" untuk muat turun kod dan pakej.

7. Anggap daftar AI awam sebagai tidak dipercayai. Andai mana-mana komponen yang ditemui oleh ejen daripada daftar awam mungkin berniat jahat sehingga disahkan melalui katalog yang diluluskan.