Laut Island wurde der KI-Bezug der Kampagne im März eingeführt und erreichte im April mit der Erstellung von 300 GitHub-Repositories mit Bezug zu KI-Werkzeugen seinen Höhepunkt. Insgesamt wuchs FakeGit den Forschern zufolge auf mehr als 1.400 Repositories rund um KI-Tools, Agenten und Workflows an, die sämtlich auf Downloads von SmartLoader oder dem Informationsdieb StealC verlinkten.
Viele dieser Repositories ahmen Verbraucher- und Unternehmenswerkzeuge wie Gmail, WhatsApp, Databricks, Jenkins und Docker nach. Sie arbeiten mit überzeugender Dokumentation, gefälschten Stern- und Fork-Zahlen, kopierten Projektbeschreibungen und echten Namen von Entwicklerkonten. In den README-Dateien werden Besucher zum Herunterladen von ZIP-Archiven geleitet, die als Installer oder Projektveröffentlichungen erscheinen, tatsächlich aber als Lua-Nutzlasten getarnt sind und SmartLoader starten.
Ist SmartLoader aktiv, richtet die Malware laut Island Persistenz über geplante Aufgaben ein, bezieht ihre Command-and-Control-Adresse über einen Smart Contract auf Polygon und lädt weitere verschlüsselte Stufen von GitHub nach. Am Ende wird der Informationsdieb StealC ausgeliefert.
Island beschreibt die bösartigen Repositories als Teil einer aufkommenden Technik namens AgentBaiting. Sie soll die Sichtbarkeit bei KI-Agenten erhöhen und damit die Chancen verbessern, dass die Inhalte verwendet werden. In einem typischen Ablauf würden Agenten die README-Inhalte als legitime Dokumentation auswerten und dem menschlichen Nutzer dann das Repository oder die ZIP-Datei empfehlen.
In Tests von Island brachten ChatGPT, Gemini und Claude bei passenden Aufgabenstellungen verschiedene bösartige Repositories zum Vorschein und gaben teils sogar die Installationsanweisungen weiter. In öffentlichen Registern und Katalogen fanden die Forscher zudem mehr als 600 Einträge für Skills und MCP-Server, die mit der FakeGit-Kampagne verknüpft waren. Genannt werden unter anderem LobeHub, Glama, MCP.so und MCP Market. Das deute darauf hin, dass die Operation bereits in das Ökosystem eingedrungen ist und öffentliche Ressourcen vergiftet hat.
Ob die Einträge manuell eingereicht oder automatisch indiziert wurden, konnten die Forscher nicht klären. Ihre bloße Präsenz erleichtere jedoch die Auffindbarkeit der Repositories und erhöhe ihre Glaubwürdigkeit. Gegenüber BleepingComputer berichteten die Island-Forscher außerdem, dass Claude Code in begrenzten, kontrollierten Tests bösartige Repositories geklont und die schädlichen Dateien auf das Testsystem heruntergeladen habe. Der Agent habe anschließend verdächtige Hinweise erkannt und vor der Ausführung gestoppt.
Die Tests waren laut Island nicht darauf ausgelegt, eine Erkennungsrate zu bestimmen. Deshalb ließen sich daraus keine belastbaren Aussagen ableiten, ob Coding-Agenten die Gefahr in der Ausführungsphase verlässlich erkennen. Zum Umfang der Kampagne erklärte Island, dass öffentliche GitHub-Download-Zähler für 335 eindeutige Release-Artefakte aus 211 GitFake-Repositories insgesamt 14.084.688 Download-Ereignisse registrierten. Oleg Zaytsev, leitender Sicherheitsforscher bei Island, stellte klar, dass dieser Wert auch wiederholte Abrufe und automatisierte Aktivitäten enthalte und nicht als Zahl von Infektionen zu verstehen sei.
Als Gegenmaßnahmen empfiehlt Island Unternehmen, freigegebene Kataloge für Skills und MCP-Server zu pflegen, neue Fähigkeiten in isolierten Umgebungen zu testen und Herausgeber sowie Repositories unabhängig zu überprüfen. Wird die Ausführung von SmartLoader vermutet, sollten nach Angaben der Forscher alle Geheimnisse in den betroffenen Umgebungen sofort ausgetauscht werden.