Дослідники у сфері кібербезпеки з компанії Apiiro зафіксували новий сплеск активності шкідливої кампанії FakeGit на платформі GitHub. За даними фахівців, зловмисники розгорнули масштабну інфраструктуру з 17,6 тисячі підроблених репозиторіїв, яка використовується для поширення завантажувача SmartLoader. Після встановлення на пристрій жертви цей компонент завантажує стілер StealC — шкідливе ПЗ, призначене для крадіжки облікових даних, сесій та інших конфіденційних даних. На піку активності атаки хакери оновлювали до 3000 проєктів на годину, спираючись як на одноразові облікові записи, так і на понад 700 скомпрометованих акаунтів легітимних розробників.
Масштаб і темп атаки
Ключовою особливістю кампанії FakeGit, яку виділили дослідники Apiiro, є її промисловий темп: на піку зловмисники генерували та оновлювали до 3000 шкідливих проєктів на годину. Такий темп можливий завдяки автоматизації та використанню двох типів облікових даних — одноразових акаунтів для швидкої ротації та понад 700 захоплених акаунтів реальних розробників, які надають піддельним репозиторіям вигляду легітимності. Загалом у мережі кампанії налічується 17,6 тисячі фальшивих репозиторіїв, що робить її однією з найбільших подібних операцій на платформі.
Як влаштована схема зараження
Основна частина фальшивих репозиторіїв маскується під популярні утиліти, ШІ-інструменти та MCP-сервери, взяті з публічних каталогів. Шахраї розміщують у файлах README переконливі інструкції щодо використання та кнопку завантаження, яка фактично веде на ZIP-архів, що містить шкідливий виконуваний код. Таким чином, жертва, дотримуючись звичної схеми «завантажити та запустити», встановлює на свій пристрій завантажувач SmartLoader, а слідом за ним — стілер StealC.
Обхід точкових блокувань
Операція успішно обходить точкові блокування засобів безпеки завдяки багаторазовому дублюванню завантажувальних файлів. Шкідливі виконувані файли розміщуються не лише в основних репозиторіях, а й у їхніх форках, у вкладеннях до тикетів, а також у релізних асетах. Це означає, що навіть у разі видалення чи блокування одного репозиторію шкідливий код продовжує поширюватися через пов'язані об'єкти платформи, що суттєво ускладнює нейтралізацію кампанії.
Рекомендації фахівців
Фахівці Apiiro рекомендують розробникам і користувачам GitHub ретельно перевіряти власників репозиторіїв перед завантаженням та запуском будь-якого коду, звертаючи увагу на вік акаунта, історію публікацій і відповідність проєкту заявленій меті. У разі підозри на зараження пристрою експерти радять негайно відкликати активні токени доступу та сесії, щоб обмежити можливий доступ зловмисників до облікових даних та інфраструктури.
