FakeGit ködert jetzt auch KI-Agenten mit Schadcode : Tausende falsche GitHub-Projekte tarnen SmartLoader als KI-Skills und MCP-Server
Eine professionelle Projektbeschreibung, ein vertrauter Entwicklername und eine scheinbar passende Erweiterung: Die Kampagne FakeGit missbraucht GitHub in industriellem Maßstab zur Verteilung von Schadsoftware. Neu ist, dass nicht nur Menschen, sondern auch KI-Agenten die präparierten Repositories selbstständig finden und weiterempfehlen können.
Nach einer Analyse von Island umfasst FakeGit nahezu 7.600 bösartige GitHub-Repositories, die von rund 6.600 Profilen angelegt wurden. Mehr als 800 Projekte geben sich als Fähigkeiten für künstliche Intelligenz (KI) oder als Server für das Model Context Protocol (MCP) aus. Sie versprechen beispielsweise Integrationen für Gmail und WhatsApp oder Erweiterungen für Databricks, Jenkins und Docker.
Die Angreifer kopieren bestehende Projekte oder bauen glaubwürdig wirkende Nachahmungen. Ähnliche Profilnamen, ausführliche README-Dateien und vermeintliche Release-Pakete sollen Vertrauen schaffen. „FakeGit nutzt kopierte Projekte, täuschend ähnliche Entwicklerprofile, überzeugende README-Dateien und bösartige ZIP-Archive“, erklärt Oleg Zaytsev von Island.
Vom ZIP-Archiv zum Datendiebstahl
Die README führt Nutzer durch eine angeblich normale Installation und verweist auf ein ZIP-Archiv. Nach dem Entpacken startet eine mehrstufige Infektionskette auf Basis von LuaJIT, einer Just-in-Time-Laufzeit für Lua. Ein verschleiertes Lua-Skript installiert anschließend SmartLoader.
SmartLoader dient den Angreifern als Ausgangspunkt für die weitere Kompromittierung. Die Malware verankert sich dauerhaft im System und lädt zusätzliche Schadprogramme nach. Dazu zählt StealC, ein Information Stealer, der auf kompromittierten Geräten unter anderem Zugangsdaten, Browserinformationen, Sitzungscookies, Kryptowallets und weitere sensible Daten auslesen kann.
Die Verbreitung von SmartLoader und StealC über manipulierte MCP-Server war bereits zuvor von Straiker AI und später von Derp.ca dokumentiert worden. FakeGit erweitert dieses Vorgehen jedoch um eine KI-gestützte Angriffsmethode, die Island als „AgentBaiting“ bezeichnet.
AgentBaiting manipuliert die Softwaresuche
Beim AgentBaiting muss ein Angreifer keinen Schadlink mehr direkt an einen Nutzer übermitteln. Stattdessen erhält ein KI-Agent lediglich den Auftrag, beispielsweise einen bestimmten Skill oder einen kostenlosen MCP-Server zu suchen. Bei dieser Recherche kann er selbstständig auf eines der gefälschten GitHub-Repositories stoßen, dessen README als vertrauenswürdige Dokumentation behandeln und die darin enthaltenen Anweisungen weitergeben.
Damit führt der Agent unbeabsichtigt Teile der Angriffskette im Sinne der Täter aus – ohne dass ein menschlicher Nutzer das manipulierte Repository zuvor kennen oder gezielt aufrufen muss.
In Tests von Island konnten Claude Code, Gemini und ChatGPT entsprechende Kampagnen-Repositories auffinden, obwohl ihnen zuvor kein Link genannt worden war. Eine ursprünglich für Menschen entwickelte Social-Engineering-Methode erreicht damit auch KI-Systeme, die im Auftrag ihrer Nutzer Software recherchieren.
Das Risiko steigt, wenn solche Projekte zusätzlich in öffentlichen Verzeichnissen wie LobeHub, Glama, MCP.so oder MCP Market erscheinen. Island identifizierte dort mehr als 600 zur Kampagne gehörende Einträge. Eine Aufnahme in ein öffentliches Verzeichnis wirkt wie eine Qualitätsbestätigung, obwohl häufig keine belastbare Prüfung von Herausgeber und Code stattgefunden hat.
Schutz vor der automatisierten Lieferkette
Unternehmen sollten KI-Erweiterungen wie reguläre Softwarekomponenten behandeln und sich nicht ungeprüft auf Vorschläge eines Agenten verlassen. Sinnvolle Schutzmaßnahmen sind:
- einen internen Katalog geprüfter Skills, MCP-Server und Agenten-Plug-ins führen
- Herausgeber, Repository-Historie und Quellcode gemeinsam verifizieren
- Downloads und Release-Dateien vor der Ausführung analysieren
- neue Komponenten zuerst in einer isolierten Sandbox testen
- Agenten ohne direkten Schreib-, Shell- oder Installationszugriff betreiben
- Such-, Download- und Ausführungsschritte vollständig protokollieren
- Endpunkte durch Application Control und Endpoint Detection and Response (EDR) absichern
„FakeGit musste in nichts einbrechen“, fasst Island zusammen. Die Täter veröffentlichten glaubwürdige Projekte, „liehen“ sich die Identität realer Entwickler und überließen den Rest den Suchmechanismen. Mit AgentBaiting wird diese Kette noch gefährlicher: Zwischen Köder und möglicher Codeausführung muss nicht einmal mehr ein Mensch aktiv nach einem Download suchen.