LONDON (IT BOLTWISE) – Eine neue FakeGit-Kampagne tarnt fast 7.600 GitHub-Repositories als „KI Skills“ und MCP-Server und installiert darüber den Malware-Loader SmartLoader. Besonders brisant: Mit „AgentBaiting“ können Angreifer KI-Agenten sogar ohne direkten Klickpfad in die Falle locken. Das Vorgehen kombiniert kopierte Projekte, täuschend echte READMEs und manipulierte ZIP-Downloads zu einer Kette, die anschließend StealC nachlädt. Security-Teams sollen deshalb vertrauenswürdige Kataloge aufbauen und agentische Workflows vor Rollout in einer Sandbox prüfen.
Eine Cybersecurity-Ermittlung zeigt, wie schnell sich typische Social-Engineeringmuster in eine agentenfähige Angriffskette verwandeln lassen: Unter dem Codenamen „FakeGit“ haben Forscher nahezu 7.600 schädliche GitHub-Repositories identifiziert. Mehr als 800 davon geben sich als „AI Skills“ oder als Model Context Protocol (MCP)-Server aus. Das Ziel ist nicht der direkte Systembruch über bekannte Exploit-Ketten, sondern der Missbrauch des Vertrauens, das Nutzer und zunehmend auch KI-Agenten bei öffentlich auffindbaren Artefakten annehmen. Laut dem Bericht wurden die Kampagnen so angelegt, dass SmartLoader per Download ausgeführt wird und danach weitere Payloads wie StealC nachgelagert werden.
Technisch nutzt FakeGit dabei eine mehrstufige Ausführungs- und Vertrauenskette. Die manipulierten Repositories setzen auf kopierte Projekte, Lookalike-Profile und „convincing READMEs“, die den Eindruck normaler Installation und Einrichtung vermitteln. Zentral ist ein ZIP-Archiv, das beim Download in eine LuaJIT-Loader-Kette überleitet. Auf dieser Stufe wird ein obfusziertes Lua-Skript ausgeführt, das SmartLoader ablegt. Von dort aus wird anschließend StealC implementiert, ein Information Stealer, der laut Beschreibung ein breites Spektrum an Daten aus kompromittierten Systemen erfasst. Damit ist das Risiko eng mit dem typischen Paket-/Release-Verhalten rund um GitHub Asset-Downloads verbunden.
Der Kontext zeigt, warum die Branche den Fokus bislang besonders auf trojanisierte MCP-Server gerichtet hat: Bereits in diesem Jahr wurden ähnliche Muster zum Verteilen von SmartLoader und StealC von anderen Akteuren wie Straiker AI sowie Derp.ca gemeldet. FakeGit reiht sich also nicht als völlig neues Muster ein, sondern als skalierende Ausprägung einer bereits beobachteten Klassenlücke. Neu ist vor allem der Begriff „AgentBaiting“: Ein KI-Agent, der nach einem Skill oder MCP-Server sucht, kann in ein bogus Repository laufen, das dann als legitime Dokumentation interpretiert wird. Statt dass ein Mensch einen Link anklickt, „führt“ der Agent die Anleitung weiter und übersetzt dabei den Angriffsplan in automatisches Handeln.
Dass das funktioniert, belegen die Tests der Forscher anhand konkreter Modell-Workflows. Laut dem Bericht waren Anthropic Claude Code, Google Gemini und OpenAI ChatGPT für diese Trickery-Variante anfällig. Das Entscheidende ist nicht nur die Fähigkeit, Inhalte zu lesen, sondern wie agentische Systeme ihre Tool-Entdeckung mit Informationsbeschaffung verknüpfen: Bei geeignetem Such- und Aufgabenprompt können die Modelle Repositorys ausgeben, die wie echte Installationsquellen wirken, ohne dass der Angreifer einen direkten, bösartigen Link übergeben muss. In der Praxis heißt das: Ein ursprünglich für die Social-Engineering-Falle gegenüber Menschen gebautes Setup kann gleichzeitig gegen KI-Agentsummons, -agenten und -Plugins wirken.
Auch die Skalierung macht FakeGit für Unternehmen gefährlich. Von rund 6.600 Profilen entstanden insgesamt etwa 7.600 bösartige Repositories; davon waren gut 800 als Skills oder MCP-Server für verschiedene Einzel- und Enterprise-Nutzungen getarnt. Die Tarnung erstreckte sich von Integrationen wie Gmail und WhatsApp bis hin zu Werkzeugen im Entwicklungs- und Datenkontext, etwa Databricks, Jenkins und Docker-Umfeldern. Bis Juli 2026 soll die Operation über GitHub-Release-Assets in ungefähr 200 Kampagnenrepositories mehr als 14 Millionen Downloads erreicht haben. Solche Downloadzahlen deuten weniger auf „Zufall“, sondern auf passgenaue Namenswahl und Distribution in einem bereits nach KI-Fähigkeiten suchenden Markt.
Aus Marktsicht verstärkt das die ohnehin wachsende Angriffsfläche: Wenn bösartige Skills oder MCP-Server in öffentlichen Registern auftauchen, entsteht eine falsche Legitimitätsannahme. FakeGit soll seine Listings über Plattformen wie LobeHub, Glama, MCP.so und MCP Market verbreitet haben; laut Bericht wurden dabei mehr als 600 Kampagnenlisten in öffentlichen Skill- und MCP-Registries markiert. Die Einordnung ist klar: Je besser der Agenten-Discovery-Mechanismus in den normalen Arbeitsfluss integriert ist, desto höher ist der Anteil „automatischer“ Installationspfade. Damit verschiebt sich das Sicherheitsproblem von „Endpoint ist gepatcht“ hin zu „Agent-Discovery und Vertrauenskette sind abgesichert“.
Security-Teams sollten die Abwehr deshalb als Unterbrechung der Kette denken. Erstens empfiehlt sich, einen Katalog geprüftem Skills, MCP-Servern und Agent-Plugins aufzubauen und neue Fähigkeiten vor einer breiten Bereitstellung in einer Sandbox zu testen. Zweitens sollte die Glaubwürdigkeit nicht nur über den Namen, sondern über Publisher-Identität und Projektkonsistenz verifiziert werden; Lookalikes und kopierte Workflows sind gerade deshalb wirksam, weil sie in gängigen Dokumentationsroutinen plausibel wirken. Drittens braucht es Monitoring für agentische Pfade: Wenn ein Agent den README-Text in Installationsschritte übersetzt und dabei Artefakte aus Release-Assets anstößt, muss das als risikoreicher Verhaltensindikator sichtbar werden.
Für die Zukunft ist „AgentBaiting“ ein Warnsignal, dass KI-gestütztes Suchen und Nutzen künftig genauso steuerbar sein muss wie klassisches Software-Supply-Chain-Management. Der nächste Entwicklungsschritt dürfte weniger in neuen Malware-Familien liegen, sondern in verbesserten Prompt- und Indexierungsmechanismen, die bösartige Repositories noch schneller in relevanten Suchkontexten platzieren. Gleichzeitig entsteht eine klare Chance für Entwicklerorganisationen: Wer Discovery-Prozesse instrumentiert, Signaturen, Publisher-Checks und Ausführungsgrenzen konsequent einzieht, kann agentische Automatisierung sicherer gestalten. Entscheidend wird sein, dass die „letzte Meile“ – vom Agentenfund zur Ausführung – nicht automatisch vertraut, sondern kontrolliert wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FakeGit-Kampagne missbraucht 7.600 GitHub-Repositories für SmartLoader" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FakeGit-Kampagne missbraucht 7.600 GitHub-Repositories für SmartLoader" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FakeGit-Kampagne missbraucht 7.600 GitHub-Repositories für SmartLoader« bei Google Deutschland suchen, bei Bing oder Google News!