Kampanye FakeGit Sebar SmartLoader Lewat 7.600 Repositori GitHub Palsu
Kampanye malware berskala besar bernama FakeGit terungkap menggunakan sekitar 7.600 repositori GitHub palsu untuk menyebarkan SmartLoader dan StealC. Operasi ini tidak hanya menargetkan pengguna yang mencari software secara manual, tetapi juga mulai memanfaatkan cara AI agent menemukan dan merekomendasikan tool baru.
Dari ribuan repositori tersebut, lebih dari 800 dibuat seolah-olah sebagai AI Skills atau server Model Context Protocol (MCP). Repositori-repositori itu juga muncul lebih dari 600 kali di registry dan katalog AI publik, sehingga peluang ditemukan oleh developer maupun AI agent menjadi lebih besar. Teknik ini oleh peneliti disebut sebagai AgentBaiting.
FakeGit disebut sebagai kelanjutan dari operasi lama yang sebelumnya memakai Lumma Stealer dan dikaitkan dengan aktor ancaman Water Kurita. Pada gelombang terbaru, fokus ke ekosistem AI mulai terlihat pada Maret 2026 dan memuncak pada April, ketika ratusan repositori bertema AI dibuat dalam waktu singkat.
Repositori Palsu Dibuat Terlihat Meyakinkan
Repositori yang digunakan dalam kampanye ini meniru tool konsumen dan enterprise populer, termasuk layanan yang terkait Gmail, WhatsApp, Databricks, Jenkins, dan Docker. Untuk membangun kredibilitas, pelaku memakai dokumentasi yang rapi, deskripsi proyek yang disalin, angka star dan fork yang tampak meyakinkan, serta nama akun developer yang menyerupai identitas asli.
File README pada repositori tersebut mengarahkan pengunjung untuk mengunduh arsip ZIP yang dikemas seperti installer atau rilis proyek resmi. Namun, di balik tampilan tersebut, paket yang dibagikan berisi payload Lua yang memicu SmartLoader.
Setelah aktif, SmartLoader membangun persistence melalui scheduled tasks, mengambil alamat command-and-control dari smart contract Polygon, lalu mengunduh tahap terenkripsi tambahan dari GitHub. Rantai ini pada akhirnya mengirimkan StealC, sebuah information stealer yang dapat mencuri kredensial, sesi aktif, data ekstensi browser, screenshot, dan informasi host.
AI Agent Ikut Menjadi Jalur Risiko
Bagian paling menonjol dari kampanye ini adalah AgentBaiting. Dalam skenario tersebut, AI agent yang diminta mencari skill, MCP server, atau integrasi tertentu dapat menemukan repositori berbahaya secara mandiri, membaca README sebagai dokumentasi sah, lalu meneruskan instruksi instalasi kepada pengguna manusia.
Dalam pengujian terbatas, beberapa AI assistant dan coding agent dilaporkan dapat memunculkan repositori yang terkait kampanye FakeGit ketika diberi permintaan yang relevan. Pada sebagian kasus, agent bahkan meneruskan instruksi dari README penyerang, meski ada pula percobaan di mana agent kemudian mengenali indikator mencurigakan dan berhenti sebelum eksekusi.
Temuan ini menunjukkan bahwa masalahnya bukan sekadar pengguna mengklik tautan berbahaya. Dalam workflow modern, AI agent dapat menjadi perantara discovery yang memperluas permukaan serangan, terutama ketika rekomendasi tool berasal dari registry publik yang belum diverifikasi.
Lebih dari 14 Juta Download Terukur
Operasi FakeGit dilaporkan mencatat lebih dari 14 juta download terukur pada aset GitHub Release dari ratusan repositori kampanye. Angka tersebut mencakup permintaan berulang dan aktivitas otomatis, sehingga tidak dapat langsung diartikan sebagai jumlah infeksi. Meski begitu, skala distribusinya tetap menunjukkan besarnya paparan terhadap developer, pengguna enterprise, dan ekosistem AI agent.
Organisasi disarankan membuat katalog internal untuk Skills, MCP server, dan plugin agent yang sudah ditinjau, serta menguji kemampuan baru di lingkungan terisolasi sebelum dipakai di workflow produksi. Publisher dan repositori juga perlu diverifikasi secara independen, bukan hanya berdasarkan tampilan README, jumlah star, atau keberadaan listing di registry publik.
Jika eksekusi SmartLoader dicurigai terjadi, endpoint perlu segera diisolasi dan seluruh rahasia pada lingkungan terdampak harus dirotasi. Ini mencakup sesi browser aktif, OAuth grants, API token, kredensial cloud, dan kredensial developer, karena StealC dapat menargetkan sesi aktif selain password tradisional.
Sumber: Island Security Research
