Campanha FakeGit usa 7.600 repositórios falsos no GitHub disfarçados de skills de IA e servidores MCP para espalhar malware
Pesquisadores mapearam quase 7.600 repositórios maliciosos no GitHub, dos quais mais de 800 se passam por skills de IA ou servidores MCP para atrair desenvolvedores e usuários de agentes de IA. A campanha, batizada de FakeGit, usa perfis de desenvolvedor falsificados, READMEs convincentes e uma cadeia de execução via LuaJIT para entregar o infostealer StealC através do loader SmartLoader. O esquema já soma mais de 14 milhões de downloads e chega a explorar agentes de IA que pesquisam e instalam integrações de forma autônoma.
A operação FakeGit monta uma fábrica de repositórios: cerca de 6.600 perfis falsos foram usados para publicar quase 7.600 projetos no GitHub, muitos deles clones de ferramentas legítimas com nomes e descrições ajustados para parecer skills de IA (ex.: integrações com Gmail, WhatsApp, Databricks, Jenkins, Docker) ou servidores MCP prontos para uso por agentes como Claude ou assistentes de código. Mais de 600 desses projetos chegaram a ser indexados em catálogos públicos de MCP como LobeHub, Glama e MCP.so, emprestando uma camada extra de legitimidade a algo forjado.
Tecnicamente, o engano se apoia em READMEs bem escritos que conduzem a vítima a baixar um ZIP de "instalação", cujo conteúdo dispara uma cadeia de execução em LuaJIT com scripts Lua ofuscados. Essa cadeia termina na entrega do SmartLoader, um dropper que por sua vez instala o StealC, um infostealer usado para exfiltrar credenciais, cookies de sessão e outros dados sensíveis da máquina comprometida.
O detalhe mais preocupante do relato é o vetor batizado de "AgentBaiting": em vez de depender só de um humano clicar em um link, os pesquisadores observam que agentes de IA induzidos por prompts genéricos do tipo "encontre uma skill Claude grátis" ou "servidor MCP gratuito" podem descobrir e tentar instalar esses repositórios sozinhos, sem que nenhum link malicioso tenha sido fornecido diretamente ao usuário. Isso desloca a superfície de ataque da caixa de entrada do usuário para o comportamento de busca autônomo do próprio agente.
Na prática, o caso expõe uma lacuna de confiança que o ecossistema de MCP e skills de IA ainda não resolveu: não existe um equivalente maduro de assinatura de pacotes ou reputação verificada para esse tipo de integração, e catálogos públicos indexam conteúdo sem curadoria robusta. Equipes que adotam agentes de IA com capacidade de buscar e instalar ferramentas por conta própria precisam tratar essa busca como uma superfície de supply chain attack e restringir de onde esses agentes podem puxar código executável.