Cybersicherheitsforscher von Apiiro haben einen neuen Aktivitätsschub der Schadkampagne FakeGit auf der GitHub-Plattform verzeichnet. Angaben der Experten zufolge haben Angreifer eine massive Infrastruktur aus 17,6 Tsd. gefälschten Repositories aufgebaut, die zur Verbreitung des SmartLoader-Downloaders genutzt wird. Nach der Installation auf dem Gerät des Opfers lädt diese Komponente den StealC-Stealer herunter — eine Malware, die darauf ausgelegt ist, Zugangsdaten, Sitzungen und andere vertrauliche Daten abzufangen. Auf dem Höhepunkt der Angriffe aktualisierten Hacker bis zu 3.000 Projekte pro Stunde und stützten sich dabei sowohl auf Einwegkonten als auch auf über 700 kompromittierte Konten legitimer Entwickler.

Ausmaß und Tempo des Angriffs

Ein Hauptmerkmal der FakeGit-Kampagne, das die Apiiro-Forscher hervorhoben, ist ihr industrielles Tempo: Auf dem Höhepunkt generierten und aktualisierten Angreifer bis zu 3.000 schädliche Projekte pro Stunde. Dieses Tempo wird durch Automatisierung und die Verwendung von zwei Arten von Anmeldeinformationen ermöglicht — Einwegkonten für eine schnelle Rotation und über 700 gekaperte Konten echter Entwickler, die den gefälschten Repositories den Schein von Legitimität verleihen. Insgesamt umfasst das Netzwerk der Kampagne 17,6 Tsd. Schein-Repositories, was sie zu einer der größten Operationen dieser Art auf der Plattform macht.

Wie das Infektionsschema funktioniert

Der Großteil der gefälschten Repositories tarnt sich als beliebte Dienstprogramme, KI-Tools und MCP-Server aus öffentlichen Katalogen. Die Betrüger platzieren in den README-Dateien überzeugende Anweisungen zur Verwendung sowie einen Download-Button, der tatsächlich zu einem ZIP-Archiv führt, das schädlichen ausführbaren Code enthält. So installiert das Opfer nach dem gewohnten Schema „Herunterladen und Ausführen“ den SmartLoader-Downloader und unmittelbar danach den StealC-Stealer auf seinem Gerät.

Umgehung gezielter Sperren

Die Operation umgeht gezielte Sicherheitssperren erfolgreich durch mehrfache Duplizierung von Loader-Dateien. Schad-Executables werden nicht nur in den Haupt-Repositories platziert, sondern auch in deren Forks, Ticket-Anhängen sowie Release-Assets. Das bedeutet, dass selbst beim Löschen oder Sperren eines Repositories der Schadcode weiterhin über verknüpfte Plattformobjekte verbreitet wird, was die Neutralisierung der Kampagne erheblich erschwert.

Empfehlungen der Experten

Apiiro-Experten empfehlen Entwicklern und GitHub-Nutzern, die Besitzer von Repositories vor dem Herunterladen und Ausführen von Code gründlich zu überprüfen. Dabei sollte auf das Kontoalter, die Veröffentlichungshistorie und die Übereinstimmung des Projekts mit dem angegebenen Zweck geachtet werden. Bei Verdacht auf eine Infektion raten Experten, aktive Zugriffstokens und Sitzungen unverzüglich zu widerrufen, um einen möglichen Zugriff der Angreifer auf Anmeldeinformationen und Infrastruktur einzuschränken.