Campanha FakeGit usa 7.600 repositórios falsos no GitHub para enganar agentes de IA e distribuir malware

Ativa desde pelo menos março de 2025 e atribuída a um único operador de língua vietnamita, a campanha implantou quase 7.600 repositórios maliciosos no GitHub, dos quais mais de 800 foram disfarçados de AI Skills (habilidades para agentes de IA) ou servidores MCP (Model Context Protocol) — exatamente os tipos de componentes que agentes como Claude Code, Gemini CLI e ChatGPT buscam e recomendam ativamente. Em julho de 2026, os contadores de download do GitHub registraram mais de 14 milhões de eventos associados aos arquivos da campanha.

O que é o AgentBaiting?

O AgentBaiting é um ataque à cadeia de suprimentos que mira o modelo de confiança dos agentes de IA. Em vez de depender de vítimas que encontrem links maliciosos por acaso, os atacantes projetaram seus repositórios falsos para serem encontrados e promovidos pelos próprios agentes de IA. A cadeia do ataque funciona assim:

1. AI Skills e servidores MCP falsos: Mais de 800 repositórios da campanha se passavam por AI Skills (plugins para agentes de codificação) ou servidores MCP — componentes que os agentes buscam sozinhos quando o usuário pede para integrar uma ferramenta ou serviço.
2. Listagens em registros públicos de IA: Os atacantes inseriram mais de 600 listagens maliciosas em registros e diretórios públicos de IA, garantindo que seus repositórios aparecessem nos resultados de busca dos agentes.
3. Engenharia social via READMEs: Os repositórios maliciosos usavam projetos legítimos copiados, perfis de desenvolvedores semelhantes e arquivos README convincentes com instruções em que os agentes de IA confiam e repassam aos usuários.
4. Recomendação autônoma: Quando um desenvolvedor pedia ao agente para encontrar uma ferramenta ou iniciar um projeto, o agente buscava na web, encontrava um desses repositórios falsos, lia o README e apresentava as instruções de instalação — incluindo o download do malware — como se fosse uma recomendação útil.

O pesquisador líder da Island, Oleg Zaytsev, descreveu a mudança: "O que foi criado para enganar pessoas agora também engana agentes de IA".

Payloads de malware: SmartLoader e StealC

A campanha FakeGit utiliza uma cadeia de malware em dois estágios:

• SmartLoader: O payload inicial entregue pelos repositórios falsos. É um carregador multinível baseado em LuaJIT que estabelece persistência no sistema, recupera estágios criptografados e os executa diretamente na memória.
• StealC: O payload final. Um malware roubador de informações que exfiltra credenciais, chaves de API, dados de navegador e outras informações sensíveis de sistemas Windows comprometidos.

Escala da operação (até julho de 2026)

Nota: A contagem de 14 milhões+ de downloads reflete todos os eventos registrados pelos contadores do GitHub para os arquivos da campanha, o que pode incluir tanto requisições automatizadas quanto downloads genuínos de usuários.

Mitigações recomendadas por pesquisadores para empresas

Com base na análise da Island Security e em relatos do time 0din da Mozilla e de outros pesquisadores de segurança, as principais defesas são:

1. Manter um catálogo aprovado e curado de AI Skills, servidores MCP e extensões de agentes. Permita que os agentes instalem apenas componentes desta lista oficial. Documente a origem, o proprietário, o repositório, o hash do commit e a versão de cada entrada.

2. Isolar novas capacidades de agentes em sandboxes. Antes de liberar qualquer nova AI Skill ou servidor MCP para toda a organização, avalie-a em um ambiente isolado e controlado.

3. Verificar a integridade do editor e do projeto. Cruze a identidade do editor, a idade da conta e o histórico do projeto antes de confiar em qualquer plugin de IA de terceiros. Trate repositórios com muitas estrelas/ muitos downloads como potencialmente manipulados.

4. Monitorar caminhos agentivos. Implemente monitoramento para requisições de saída de agentes de IA para repositórios externos, especialmente downloads de conteúdo bruto do GitHub que fujam dos padrões estabelecidos de uso dos desenvolvedores.

5. Restringir o comportamento autônomo dos agentes. Configure os agentes de IA para exigirem confirmação do usuário antes de instalar novas ferramentas, executar comandos de shell a partir de instruções do README ou baixar pacotes externos.

6. Aplicar controles rigorosos de saída (egress). Limite quais endpoints a infraestrutura de agentes de IA pode acessar e mantenha uma lista de permissões de "fontes aprovadas" para downloads de código e pacotes.

7. Tratar registros públicos de IA como fontes não confiáveis. Presuma que qualquer componente descoberto por um agente em um registro público pode ser malicioso até ser verificado através do catálogo aprovado.