Thought Leadership
In der Kampagne FakeGit verbreiten gefälschte GitHub-Repositorys und KI-Server die Schadsoftware SmartLoader. Auch KI-Agenten fallen auf den Trick herein.
Analysten des Sicherheitsunternehmens Island haben im Rahmen der Kampagne FakeGit knapp 7.600 schädliche GitHub-Repositorys identifiziert, die von etwa 6.600 unterschiedlichen Profilen erstellt wurden. Mehr als 800 dieser Verzeichnisse geben vor, Schnittstellen für KI-Funktionen oder Server des Model Context Protocol (MCP) zu sein. Sie decken Anwendungsfälle wie Integrationen für Gmail und WhatsApp sowie Werkzeuge für Databricks, Jenkins und Docker ab. Bis Juli 2026 verzeichnete die Operation über 14 Millionen Downloads von Dateianhängen in rund 200 der genutzten Repositorys. Zudem wurden über 600 gefälschte Einträge in öffentlichen MCP- und Skill-Registern wie LobeHub, Glama, MCP.so und MCP Market platziert. Oleg Zaytsev, leitender Sicherheitsforscher bei Island, erläuterte den Aufbau der gefälschten Projekte:
„FakeGit nutzt kopierte Projekte, nachgeahmte Entwicklerprofile, überzeugende README-Dateien und schädliche ZIP-Dateien, um die SmartLoader-Schadsoftware zu verbreiten.“
Oleg Zaytsev, leitender Sicherheitsforscher bei Island
Funktionsweise der Infektionskette und Schadsoftware
Die gefälschten Quellcode-Verzeichnisse kopieren bestehende Projekte oder sind vollständig frei erfunden. Sie dienen als Verteiler für komprimierte ZIP-Archive. Beim Entpacken wird eine mehrstufige Ausführungskette über die Laufzeitumgebung LuaJIT gestartet, die ein verschlüsseltes Script ausführt. Dieses lädt die Schadsoftware SmartLoader auf das System. In einem weiteren Schritt installiert SmartLoader zusätzliche Schadprogramme, darunter das Programm StealC, welches darauf spezialisiert ist, sensible System- und Zugangsdaten von infizierten Computern zu entwenden.
Täuschung von KI-Agenten durch AgentBaiting
Ein zentrales Element der Angriffe ist die Methode des sogenannten AgentBaiting. Dabei suchen autonome KI-Agenten eigenständig nach passenden Werkzeugen oder MCP-Servern im Netz und stoßen dabei auf die manipulierten Repositorys. Das KI-System wertet die beigelegte README-Datei als reguläre Installationsanleitung aus und leitet die Instruktionen des Angreifers ohne menschliche Zwischenprüfung an den Anwender weiter. In Tests erwiesen sich unter anderem Sprachmodelle wie Claude Code von Anthropic, Gemini von Google und ChatGPT von OpenAI als empfänglich für diese automatisierte Täuschung.
(red)
