FakeGit: як шахраї використовують ШІ-асистентів для поширення малварі через GitHub

Кампанія активна щонайменше з березня 2025 року та пов'язана з одним в'єтнамськомовним оператором. За цей час було створено майже 7600 шкідливих репозиторіїв GitHub, з яких понад 800 були замасковані під ШІ-навички (AI Skills) або сервери протоколу MCP (Model Context Protocol) — саме ті типи компонентів, які асистенти на кшталт Claude Code, Gemini CLI та ChatGPT шукають та рекомендують. Станом на липень 2026 року лічильники завантажень GitHub зафіксували понад 14 мільйонів подій, пов'язаних із файлами кампанії.

Що таке AgentBaiting?

AgentBaiting — це атака на ланцюжок постачання, що експлуатує модель довіри ШІ-асистента. Замість того, щоб покладатися на те, що жертви випадково перейдуть за шкідливими посиланнями, зловмисники створили фейкові репозиторії, які знаходять і рекламують самі ШІ-асистенти. Схема атаки виглядає так:

1. Фейкові ШІ-навички та MCP-сервери: Понад 800 репозиторіїв кампанії маскувалися під ШІ-навички (плагіни для асистентів) або MCP-сервери — компоненти, які асистенти автономно шукають, коли користувач просить інтегрувати якийсь інструмент або сервіс.
2. Оголошення в публічних каталогах ШІ: Зловмисники розмістили понад 600 шкідливих оголошень у публічних каталогах та реєстрах ШІ, гарантуючи, що їхні репозиторії з'являться в результатах пошуку асистентів.
3. Соціальна інженерія через README: Шкідливі репозиторії використовували скопійовані легальні проєкти, профілі розробників-двійників та переконливі файли README з інструкціями, яким ШІ-асистенти довіряли та передавали користувачам.
4. Автономна рекомендація: Коли розробник просив асистента знайти інструмент або ініціалізувати проєкт, асистент шукав в інтернеті, знаходив один із таких фейкових репозиторіїв, читав README і представляв інструкції зі встановлення (включно із завантаженням шкідливого ПЗ) як корисну рекомендацію.

Провідний дослідник Island Security Олег Зайцев описав цю зміну так: "Те, що створювалося для обману людей, тепер обманює і ШІ-асистентів".

Шкідливе навантаження: SmartLoader і StealC

Кампанія FakeGit використовує двоетапний ланцюжок зараження:

• SmartLoader: Початкове шкідливе навантаження, яке доставляється з фейкових репозиторіїв. Це багатоетапний завантажувач на основі LuaJIT, який закріплюється в системі, отримує зашифровані етапи корисного навантаження та виконує їх у пам'яті.
• StealC: Кінцеве шкідливе навантаження. Інформаційний злодій, який викрадає облікові дані, ключі API, дані браузера та іншу чутливу інформацію із скомпрометованих систем Windows.

Масштаб операції (станом на липень 2026 року)

Примітка: кількість завантажень у 14 млн+ відображає всі події, зафіксовані лічильниками GitHub для файлів кампанії, що може включати як автоматичні запити, так і реальні завантаження користувачами.

Рекомендації дослідників для компаній

На основі аналізу Island Security та інших джерел, ключові заходи захисту:

1. Ведіть затверджений каталог ШІ-навичок, MCP-серверів та розширень асистентів. Дозволяйте асистентам встановлювати лише компоненти з цього списку. Документуйте походження, власника, репозиторій, хеш коміту та версію для кожного запису.

2. Ізолюйте нові можливості асистентів. Перш ніж впроваджувати будь-яку нову ШІ-навичку чи MCP-сервер у ширшій організації, перевіряйте її в ізольованому контрольованому середовищі.

3. Перевіряйте цілісність видавця та проєкту. Звіряйте особу видавця, вік облікового запису та історію проєкту, перш ніж довіряти будь-якому сторонньому ШІ-плагіну. Ставтеся до репозиторіїв з великою кількістю зірок або завантажень як до потенційно скомпрометованих.

4. Контролюйте дії асистентів. Впровадьте моніторинг вихідних запитів від ШІ-асистентів до зовнішніх репозиторіїв, особливо завантажень сирцевого вмісту з GitHub, які виходять за межі звичайної діяльності розробників.

5. Обмежте автономну поведінку асистентів. Налаштуйте ШІ-асистентів для кодування так, щоб вони вимагали підтвердження користувача перед встановленням нових інструментів, виконанням команд оболонки з інструкцій README або завантаженням зовнішніх пакетів.

6. Застосовуйте суворі обмеження вихідного трафіку. Обмежте, яких кінцевих точок може досягати інфраструктура ШІ-асистентів, та ведіть білий список "схвалених джерел" для завантаження коду та пакетів.

7. Ставтеся до публічних каталогів ШІ як до ненадійних. Вважайте будь-який компонент, знайдений асистентом у публічному каталозі, шкідливим, доки його не буде перевірено через затверджений каталог.