Campanha FakeGit compromete mais de 17 mil repositórios no GitHub

Pesquisadores identificaram a operação FakeGit, que usa mais de 17.610 repositórios maliciosos no GitHub para distribuir códigos perigosos e comprometer máquinas de desenvolvedores. A campanha explora engenharia social, contas aparentemente legítimas e instruções de instalação falsas — frequentemente disfarçadas de ferramentas de IA e serviços MCP — para enganar até mesmo profissionais experientes. Uma vez executados, os arquivos podem instalar o SmartLoader (um carregador de malware) e o StealC (roubo de credenciais e dados), colocando em risco não só o computador da vítima, mas toda a cadeia de suprimentos de software se a máquina tiver acesso a repositórios, pipelines de entrega ou serviços em nuvem.

O desafio está em que remover esses repositórios não elimina a infraestrutura da campanha. Os criminosos usam forks, discussões, issues, arquivos compactados e múltiplos espelhos para manter cópias do malware acessíveis mesmo quando repositórios principais são deletados. Isso torna ferramentas tradicionais de bloqueio — como listas de URLs e filtros DNS — insuficientes. Para desenvolvedores, a lição é clara: a presença de um projeto no GitHub não garante segurança, e desconfiar de instruções de instalação suspeitas, verificar origem de arquivos e monitorar comportamentos anormais durante execução são práticas essenciais.