Pesquisadores de cibersegurança descobriram quase 7.600 repositórios maliciosos no GitHub.
Desse total, mais de 800 se passam por habilidades de inteligência artificial (IA) ou por servidores do Model Context Protocol (MCP) para distribuir uma família de malware conhecida como SmartLoader, em uma campanha em andamento batizada de FakeGit.
"O FakeGit usa projetos copiados, perfis de desenvolvedores semelhantes aos reais, arquivos README convincentes e arquivos ZIP maliciosos para entregar o malware SmartLoader", afirmou Oleg Zaytsev, pesquisador líder de segurança da Island.
O objetivo final desses ataques é explorar o acesso obtido pelo SmartLoader para estabelecer persistência e carregar payloads secundários, como o StealC, um infostealer capaz de coletar uma ampla variedade de dados de sistemas comprometidos.
Vale lembrar que o uso de servidores MCP trojanizados para distribuir SmartLoader e StealC já havia sido identificado no início deste ano pela Straiker AI e, depois, pela Derp.ca.
Mas um aspecto preocupante do FakeGit é uma evolução impulsionada por IA, apelidada de AgentBaiting.
Isso acontece quando um agente de IA que procura uma habilidade ou um servidor MCP acaba descobrindo, sem querer, um desses repositórios falsos no GitHub, fazendo com que ele execute, por conta própria, as instruções do atacante, sem qualquer intervenção de um usuário humano.
A Island informou que seus testes mostraram que o Anthropic Claude Code, o Google Gemini e o OpenAI ChatGPT são suscetíveis a esse tipo de engano, permitindo que os modelos exibam repositórios maliciosos da campanha mesmo sem receber um link.
Em outras palavras, uma técnica criada originalmente para manipular pessoas agora também consegue enganar um agente de IA que age em nome delas.
Dos 7.600 repositórios maliciosos criados por cerca de 6.600 perfis, 800 se passavam por Skills ou servidores MCP para uso individual e corporativo, indo de integrações com Gmail e WhatsApp a ferramentas para Databricks, Jenkins e Docker.
Em julho de 2026, a operação FakeGit já havia registrado mais de 14 milhões de downloads em ativos de GitHub Release distribuídos por cerca de 200 repositórios da campanha.
"Os repositórios foram criados para atender a uma demanda que já estava se formando em torno das capacidades de IA, aproveitando os nomes e os fluxos de trabalho de ferramentas conhecidas de consumo e corporativas", explicou Zaytsev.
"Essa familiaridade dava aos arquivos ZIP maliciosos uma justificativa crível para serem baixados, enquanto o README conduzia usuários ou agentes, do que parecia uma configuração rotineira, para a cadeia de ataque do SmartLoader."
Os repositórios falsificados, totalmente inventados ou copiados de projetos legítimos, servem como canal para um arquivo ZIP, que então aciona uma cadeia de carregamento em LuaJIT, levando à execução de um script Lua ofuscado responsável por instalar o SmartLoader.
Em seguida, o loader passa a distribuir o StealC.
O AgentBaiting amplia ainda mais essa ameaça, porque abre espaço para um cenário em que um agente de IA pode ser induzido a descobrir um repositório FakeGit sem receber um link malicioso.
Basta um comando como "Encontre uma habilidade gratuita do claude cinematic prompt e me dê as instruções de instalação" ou "me passe um link gratuito de um servidor MCP da walmart".
"Enquanto tenta concluir uma tarefa, ele pode descobrir sozinho um repositório FakeGit, tratar o README como documentação legítima e repassar as instruções do atacante ao usuário", afirmou a Island.
"O FakeGit construiu suas iscas de IA em torno desse caminho."
A técnica mostra, mais uma vez, como operações rotineiras de descoberta assistida por IA podem ser transformadas em um corredor para a execução de código malicioso, um problema agravado quando as habilidades ou servidores MCP maliciosos são listados em registros públicos como LobeHub, Glama, MCP.so e MCP Market, o que lhes dá uma falsa aparência de legitimidade.
Mais de 600 listagens da campanha já foram identificadas em registros públicos de MCP e Skills.
Para conter a ameaça, a recomendação é criar um catálogo de Skills, servidores MCP e plugins de agentes já revisados, avaliar novas capacidades de agentes primeiro em um ambiente sandbox antes de uma implantação mais ampla, verificar tanto o publicador quanto o projeto para garantir credibilidade e monitorar caminhos agentivos.
"O FakeGit não precisou invadir nada.
Ele publicou repositórios convincentes, tomou emprestadas identidades de desenvolvedores reais, espalhou suas listagens por registros públicos e deixou a descoberta fazer o resto", disse a Island.
"Com o AgentBaiting, essa descoberta nem sequer exige mais uma pessoa: um agente em busca de uma Skill ou de um servidor MCP pode encontrar a isca, ler o README do atacante e seguir adiante com as instruções.
As defesas que importam são as que interrompem essa cadeia antes da execução."
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...