En un descubrimiento alarmante, investigadores de ciberseguridad han identificado una red de 7,600 repositorios maliciosos en GitHub de los cuales más de 800 se hacen pasar por herramientas de inteligencia artificial (IA) o servidores de Model Context Protocol (MCP). Esta campaña, conocida como FakeGit tiene como objetivo principal distribuir el malware SmartLoader.
Oleg Zaytsev, investigador principal de seguridad en Island explicó que FakeGit utiliza proyectos copiados, perfiles de desarrolladores falsos, archivos README convincentes y archivos ZIP maliciosos para entregar el malware. La estrategia es sofisticada y aprovecha la confianza que los usuarios depositan en repositorios que parecen legítimos.
La evolución de FakeGit: AgentBaiting y su impacto en la IA
Uno de los aspectos más preocupantes de FakeGit es su evolución hacia lo que se conoce como AgentBaiting. Esta técnica permite que agentes de IA, como Anthropic Claude CodeGoogle Gemini y OpenAI ChatGPT sean engañados para descubrir repositorios maliciosos sin intervención humana. Los agentes de IA pueden seguir instrucciones maliciosas contenidas en los archivos README ejecutando así el malware sin que el usuario lo note.
Zaytsev destacó que los repositorios fueron diseñados para satisfacer la demanda de herramientas de IA, utilizando nombres y flujos de trabajo familiares. Esta familiaridad da a los archivos ZIP maliciosos una razón creíble para ser descargados, mientras que el README guía a los usuarios o agentes hacia la cadena de ataque de SmartLoader.
El mecanismo de infección: de los repositorios a la ejecución del malware
Los repositorios falsos, ya sean completamente fabricados o copiados de proyectos legítimos, actúan como conductos para un archivo ZIP. Este archivo desencadena una cadena de carga de LuaJIT que lleva a la ejecución de un script de Lua ofuscado responsable de desplegar SmartLoader. Posteriormente, el cargador procede a desplegar StealC un roba-información capaz de recolectar una amplia gama de datos de sistemas comprometidos.
Como de julio de 2026, la operación FakeGit ha registrado más de 14 millones de descargas a través de los activos de GitHub Release en aproximadamente 200 repositorios de campaña. La campaña ha utilizado más de 6,600 perfiles para crear estos repositorios maliciosos, lo que demuestra la escala y sofisticación de la operación.
Para contrarrestar esta amenaza, se recomienda construir un catálogo de habilidades, servidores MCP y complementos de agentes revisados. Además, es crucial evaluar nuevas capacidades de agentes en un entorno sandbox antes de su implementación general, verificar tanto al editor como al proyecto para garantizar su credibilidad y monitorear las rutas de los agentes.
Zaytsev enfatizó que FakeGit no necesitó violar nada. Publicó repositorios convincentes, utilizó identidades de desarrolladores reales y difundió sus listados en registros públicos, dejando que el descubrimiento hiciera el resto. Con AgentBaiting, este descubrimiento ya no requiere la intervención de una persona: un agente que busca una habilidad o servidor MCP puede encontrar el señuelo, leer el README del atacante y seguir sus instrucciones.
Las defensas que importan son aquellas que interrumpen esta cadena antes de la ejecución, subrayando la necesidad de medidas de seguridad robustas en un entorno cada vez más dominado por la inteligencia artificial.
