Campanha FakeGit regressa com mais de 17 mil repositórios maliciosos no GitHub

A campanha FakeGit reativou-se com 17.610 repositórios maliciosos no GitHub que distribuem o malware SmartLoader. Saiba como se proteger desta ameaça.

Ameaça reativada no GitHub

A campanha conhecida como FakeGit, que se dedica à distribuição de software malicioso através de repositórios no GitHub, retomou a sua atividade de forma agressiva. Segundo um relatório da plataforma de segurança Apiiro, a operação reativou-se no passado dia 4 de outubro e conta agora com 17.610 repositórios maliciosos ativos na plataforma.

Esta rede utiliza contas descartáveis, mas também compromete contas de programadores legítimos para conferir credibilidade aos repositórios. O objetivo principal é a distribuição do malware SmartLoader, que serve de porta de entrada para outras ameaças, incluindo o infostealer StealC.

Como funciona o esquema

Os atacantes utilizam ficheiros README convincentes que incluem um botão de "Download". Ao clicar, o utilizador é levado a descarregar um arquivo ZIP que contém o payload inicial do SmartLoader. A eficácia desta campanha reside na sua escala: em apenas 34 horas, os atacantes conseguiram reorientar milhares de repositórios existentes, atingindo um pico de quase 3.000 novas adições por hora.

A persistência da FakeGit é facilitada pela dificuldade em remover o conteúdo malicioso, uma vez que os atacantes utilizam cópias de segurança, forks e anexos em issues para manter os links de descarga ativos, mesmo quando um repositório principal é denunciado.

Recomendações de segurança

Para os utilizadores e programadores, a recomendação é redobrar a atenção ao instalar ferramentas, especialmente componentes relacionados com IA ou servidores MCP. As boas práticas incluem:

• Verificar sempre a identidade e o histórico do proprietário do repositório.
• Utilizar apenas registos oficiais ou repositórios de fornecedores de confiança para obter bibliotecas e ferramentas.
• Caso suspeites de infeção pelo SmartLoader, trata o incidente como uma falha de segurança da tua conta GitHub: revoga sessões ativas, elimina tokens de acesso e migra para a utilização de passkeys.

Este incidente sublinha a importância de uma vigilância constante sobre as permissões e integrações que permitimos nos nossos ambientes de desenvolvimento, um tema que já abordámos anteriormente sobre o perigo das permissões OAuth e a necessidade de proteção de segredos face ao aumento de código gerado por IA.

Fontes

• https://www.bleepingcomputer.com/news/security/fakegit-malware-campaign-returns-with-17-610-malicious-github-repos/