La campaña FakeGit reanudó su actividad el 4 de octubre y utiliza 17.610 repositorios de GitHub para distribuir el malware SmartLoader, según investigadores de Apiiro, una plataforma de seguridad de la cadena de suministro de software.
Apiiro afirma que los repositorios incluyen instrucciones convincentes en archivos README y un botón de descarga que lleva a un archivo ZIP con SmartLoader, que puede distribuir otros programas maliciosos. En 34 horas, la campaña publicó más de 13.000 repositorios y alcanzó un máximo de 2.999 por hora. Según los investigadores, en el 97 % de las confirmaciones analizadas solo se modificó el README, y en el 88 % el botón de descarga dirigía a un ZIP que instala SmartLoader.
La campaña utiliza sobre todo cuentas desechables, aunque los investigadores identificaron al menos 700 cuentas que parecen pertenecer a desarrolladores legítimos. Se ha observado actividad similar con distintas cargas maliciosas desde al menos enero. En julio, investigadores de Island informaron de 7.600 repositorios falsos que distribuían SmartLoader; 800 se hacían pasar por habilidades de IA o servidores MCP.
Apiiro afirma que la campaña puede persistir porque las listas de bloqueo cubren solo una parte de los repositorios maliciosos y las copias de las cargas siguen accesibles. Los investigadores encontraron archivos maliciosos en bifurcaciones, archivos antiguos, recursos de versiones, archivos adjuntos a incidencias y repositorios independientes que alojan descargas. Apiiro también indicó que, antes de su informe, URLhaus no incluía el 71 % de los repositorios.
Apiiro recomienda comprobar quién es el propietario del repositorio y obtener habilidades de IA y servidores MCP de registros oficiales o repositorios de proveedores. Si se sospecha que SmartLoader se ejecutó, recomienda tratar el incidente como un posible compromiso de una cuenta de GitHub, revocar las sesiones activas y los tokens de acceso, y pasar a las claves de acceso.
Comentarios
0Aún no hay comentarios. Escribe el primero.