„FakeGit“: 7 600 apgaulingų GitHub saugyklų platina malware — 800 apsimeta AI įrankiais

Saugumo tyrėjai atskleidė didelio masto kampaniją, pavadinimu „FakeGit": maždaug 7 600 kenkėjiškų GitHub saugyklų, sukurtų per ~6 600 profilių, tyliai platina kenkėjišką programą. Įdomiausia — daugiau nei 800 iš jų apsimeta dirbtinio intelekto „Skills" arba MCP (Model Context Protocol) serveriais: nuo Gmail ir WhatsApp integracijų iki Databricks, Jenkins ar Docker įrankių. Kampaniją dokumentavo saugumo bendrovė „Island" (vyr. tyrėjas Oleg Zaytsev), o anksčiau panašius pėdsakus žymėjo „Straiker AI", „Trend Micro" ir „Derp.ca".

Kodėl tai svarbu būtent dabar? Nes kampanija taiko į vietą, kurioje kasdien dirba vis daugiau Lietuvos programuotojų — atviro kodo tiekimo grandinę ir naujus AI agentų įrankius. Ir ne be rezultato: per maždaug 200 pagrindinių saugyklų užfiksuota daugiau nei 14 mln. atsisiuntimų.

Kaip veikia ataka

Schema paprasta, bet efektyvi. Užpuolikai nukopijuoja tikrus projektus, susikuria panašius į teisėtus kūrėjų profilius ir parašo įtikinamus README.md failus. Auka (arba jos AI agentas) atsisiunčia „setup" ZIP archyvą — ir čia prasideda grandinė:

1. ZIP archyvas su neva diegimo instrukcijomis.
2. LuaJIT pakrovėjas paleidžia užmaskuotą Lua skriptą.
3. Skriptas įdiegia SmartLoader — pagrindinį „nešiklį".
4. SmartLoader įtvirtina prieigą ir įkelia antrinį krovinį — StealC, informacijos vagį, renkantį prisijungimo duomenis, sesijas, piniginių raktus ir kitą jautrią informaciją.

README failas veikia kaip „scenarijus": jis iš įprastos diegimo instrukcijos nepastebimai nuveda vartotoją (ar agentą) tiesiai į kenkėjišką grandinę. Kadangi viskas atrodo kaip normalus atviro kodo projektas su žvaigždutėmis ir tvarkinga dokumentacija, įtarumą kelia nedaug kas.

Naujas posūkis: „AgentBaiting" — apgaunami patys AI agentai

Svarbiausia, kuo ši kampanija skiriasi nuo įprastų tiekimo grandinės atakų — ji taikosi ne tik į žmones, bet ir į AI kodavimo agentus. „Island" testuose paaiškėjo, kad „Anthropic Claude Code", „Google Gemini" ir „OpenAI ChatGPT" gali savarankiškai atrasti apgaulingas saugyklas per paprastas natūralios kalbos užklausas — pavyzdžiui, „rask nemokamą claude cinematic prompt skill". Nereikia jokios kenkėjiškos nuorodos: agentas pats susiranda saugyklą, perskaito užpuoliko parašytą README kaip teisėtą dokumentaciją ir pasiūlo diegimo komandas.

Kitaip tariant, automatizavimas, kuris turi taupyti laiką, čia tampa infekcijos platintoju. Tyrėjai šį metodą pavadino „AgentBaiting". Kampanija jau nusėdo ir viešuose AI registruose: daugiau nei 600 įrašų aptikta tokiose platformose kaip „LobeHub", „Glama", „MCP.so" ir „MCP Market".

Kodėl AI tema — ne atsitiktinumas

„Island" duomenys rodo, kad bendras apgaulingų saugyklų skaičius augo nuolat, tačiau būtent AI temos saugyklų dalis pastaraisiais mėnesiais šoktelėjo. Vien 2026 m. balandį užfiksuota apie 290 naujų AI temos apgaulingų saugyklų. Tai logiška: kur teka dėmesys ir pinigai, ten seka ir sukčiai — o šiandien niekas netraukia kūrėjų taip, kaip „nemokamas AI Skill" ar patogus MCP serveris.

Ką tai reiškia Lietuvos komandoms

Vis daugiau vietinių įmonių ir freelancerių kasdien naudoja „Claude Code", „Cursor", „Gemini CLI" ar ChatGPT su MCP serveriais. Kiekvienas įdiegtas „skill" ar MCP jungtis — tai kodas, gaunantis prieigą prie jūsų aplinkos: raktų, tokenų, repozitorijų, kartais ir produkcinių sistemų. FakeGit rodo, kad pasitikėti „populiaria" saugykla vien dėl gražaus README ar žvaigždučių skaičiaus nebeužtenka.

Praktiniai žingsniai, kuriuos siūlo tyrėjai:

• Susikurkite peržiūrėtą „Skills"/MCP katalogą — leiskite komandai diegti tik iš patvirtinto sąrašo, o ne bet ką, ką pasiūlo agentas.
• Testuokite agentų veiksmus izoliuotoje (sandbox) aplinkoje, kad diegimas nepaliestų realių raktų ir sistemų.
• Tikrinkite leidėją ir projekto patikimumą — istoriją, autorių, commit'us, o ne tik pavadinimą ir README.
• Stebėkite agentų „kelius" — ką jie ieško, atsisiunčia ir vykdo jūsų vardu.

Esmė paprasta: AI agentas, kuris pats naršo internetą ir diegia priklausomybes, turi būti traktuojamas kaip dar vienas privilegijuotas vartotojas — su ribotomis teisėmis, auditu ir aiškiu „ką jam leidžiama" sąrašu. FakeGit — ne pirma ir tikrai ne paskutinė kampanija, bandanti tą pasitikėjimą išnaudoti.