Исследователи в области кибербезопасности из компании Apiiro зафиксировали новый всплеск активности вредоносной кампании FakeGit на платформе GitHub. По данным специалистов, злоумышленники развернули масштабную инфраструктуру из 17,6 тысяч поддельных репозиториев, которая используется для распространения загрузчика SmartLoader. После установки на устройство жертвы этот компонент загружает стилер StealC — вредонос, предназначенный для кражи учетных данных, сессий и других конфиденциальных данных. На пике активности атаки хакеры обновляли до 3000 проектов в час, опираясь как на одноразовые учетные записи, так и на более чем 700 скомпрометированных аккаунтов легитимных разработчиков.
Масштаб и темп атаки
Ключевой особенścią кампании FakeGit, которую выделили исследователи Apiiro, является ее промышленный темп: на пике злоумышленники генерировали и обновляли до 3000 вредоносных проектов в час. Такой темп возможен благодаря автоматизации и использованию двух типов учетных данных — одноразовых аккаунтов для быстрой ротации и более 700 захваченных аккаунтов реальных разработчиков, которые придают поддельным репозиториям видимость легитимности. Всего в сети кампании насчитывается 17,6 тысяч фальшивых репозиториев, что делает ее одной из наиболее крупных подобных операций на платформе.
Как устроена схема заражения
Основная часть фальшивых репозиториев маскируется под популярные утилиты, ИИ-инструменты и MCP-серверы, взятые из публичных каталогов. Мошенники размещают в файлах README убедительные инструкции по использованию и кнопку скачивания, которая фактически ведет на ZIP-архив, содержащий вредоносный исполняемый код. Таким образом, жертва, следуя привычной схеме «скачать и запустить», устанавливает на свое устройство загрузчик SmartLoader, а вслед за ним — стилер StealC.
Обход точечных блокировок
Операция успешно обходит точечные блокировки средств безопасности благодаря многократному дублированию загрузочных файлов. Вредоносные исполняемые файлы размещаются не только в основных репозиториях, но и в их форках, во вложениях к тикетам, а также в релизных ассетах. Это означает, что даже при удалении или блокировке одного репозитория вредоносный код продолжает распространяться через связанные объекты платформы, что существенно усложняет нейтрализацию кампании.
Рекомендации специалистов
Специалисты Apiiro рекомендуют разработчикам и пользователям GitHub тщательно проверять владельцев репозиториев перед скачиванием и запуском любого кода, обращая внимание на возраст аккаунта, историю публикаций и соответствие проекта заявленной цели. В случае подозрения на заражение устройства эксперты советуют незамедлительно отозвать активные токены доступа и сессии, чтобы ограничить возможный доступ злоумышленников к учетным данным и инфраструктуре.
