Nach Angaben von Island wurden die rund 7.600 bösartigen GitHub-Repositories von etwa 6.600 Profilen angelegt. Rund 800 davon tarnten sich als Skills oder MCP-Server für private und geschäftliche Nutzung, darunter Integrationen für Gmail und WhatsApp sowie Werkzeuge für Databricks, Jenkins und Docker. Bis Juli 2026 verzeichnete die FakeGit-Operation laut dem Bericht mehr als 14 Millionen Downloads über GitHub-Release-Dateien in rund 200 Kampagnen-Repositories.
Zaytsev zufolge wurden die Repositories so aufgebaut, dass sie eine bereits vorhandene Nachfrage nach KI-Funktionen bedienen. Die Angreifer übernahmen dabei Namen und Arbeitsabläufe bekannter Verbraucher- und Unternehmenswerkzeuge. Gerade diese Vertrautheit habe den schädlichen ZIP-Dateien einen glaubwürdigen Anlass zum Download gegeben, während die README-Dateien Nutzer oder Agenten von einer scheinbar normalen Einrichtung direkt in die SmartLoader-Infektionskette führten.
Technisch dienen die gefälschten Repositories, die entweder vollständig erfunden oder von legitimen Projekten kopiert wurden, als Verteiler für ein ZIP-Archiv. Dieses stößt laut Island eine Loader-Kette auf Basis von LuaJIT an, die schließlich ein verschleiertes Lua-Skript ausführt. Dieses Skript installiert SmartLoader, woraufhin der Loader anschließend StealC nachlädt.
Dass trojanisierte MCP-Server zur Verbreitung von SmartLoader und StealC genutzt werden, war bereits zu Beginn dieses Jahres von Straiker AI und später von Derp.ca gemeldet worden. Neu an FakeGit ist laut Island jedoch die KI-gestützte Ausbaustufe AgentBaiting. Dabei kann ein KI-Agent, der nach einem Skill oder einem MCP-Server sucht, eines der gefälschten Repositories selbstständig entdecken, die README-Datei als legitime Dokumentation behandeln und die Anweisungen des Angreifers an den Nutzer weiterreichen.
Island erklärte, eigene Tests hätten gezeigt, dass Anthropic Claude Code, Google Gemini und OpenAI ChatGPT für diese Täuschung anfällig sind. Die Modelle konnten demnach bösartige Kampagnen-Repositories auffinden, ohne dass ihnen zuvor ein Link vorgegeben wurde. Damit kann eine Methode, die ursprünglich Menschen per Social Engineering täuschen sollte, laut dem Bericht inzwischen auch KI-Agenten in deren Auftrag täuschen.
Island beschreibt das Risiko anhand von Suchanfragen wie der Bitte, einen kostenlosen Skill für filmische Claude-Prompts samt Installationsanleitung zu finden, oder einen Link zu einem kostenlosen Walmart-MCP-Server bereitzustellen. In solchen Fällen könne ein Agent bei der Bearbeitung der Aufgabe selbst auf ein FakeGit-Repository stoßen. Verschärft wird das Problem nach Angaben der Forscher dadurch, dass schädliche Skills oder MCP-Server in öffentlichen Verzeichnissen wie LobeHub, Glama, MCP.so und MCP Market gelistet werden und so einen Anschein von Legitimität erhalten. Mehr als 600 Kampagnen-Einträge in öffentlichen MCP- und Skill-Registern wurden bereits markiert.
Als Gegenmaßnahmen empfiehlt Island einen Katalog überprüfter Skills, MCP-Server und Agenten-Plugins, die Prüfung neuer Agenten-Fähigkeiten zunächst in einer Sandbox, die Überprüfung von Herausgeber und Projekt auf Glaubwürdigkeit sowie die Überwachung agentischer Pfade. FakeGit habe keine Systeme direkt kompromittieren müssen, sondern überzeugende Repositories veröffentlicht, die Identitäten realer Entwickler übernommen, Einträge über öffentliche Register verbreitet und die Auffindbarkeit den Rest erledigen lassen, so Island.