セキュリティ研究者らは、悪意のあるGitHubリポジトリ、公開AIレジストリ、そしてAIエージェントが読み取り可能なインストール手順を悪用し、マルウェアローダー「SmartLoader」を配布する大規模な「FakeGit」マルウェア作戦を発見しました。
Islandの研究者らは、この作戦に関連する悪意のあるGitHubリポジトリを約7,600件特定しました。
これらのリポジトリのうち800件以上が、AI SkillやModel Context Protocol(MCP)サーバーになりすましていました。このキャンペーンは2026年4月にピークを迎え、攻撃者は約300件のAI関連リポジトリを作成しました。
この作戦では、約200件のリポジトリにわたるGitHub Releaseアセットから1,400万件を超えるダウンロードが記録されています。
他にも数千件のリポジトリがソースプロジェクト内に悪意のあるZIPファイルを直接ホストしており、これらはダウンロード総数が公開されていないため、実際の被害規模はさらに大きい可能性があります。
研究者らは、このキャンペーンがソフトウェアサプライチェーンにおけるリスクの増大を象徴していると指摘しています。攻撃者はもはや、GitHubを手動で検索する開発者だけを標的にしているわけではありません。
ユーザーに代わってツールを発見・評価・推奨するAIアシスタントやエージェントもまた、標的となっています。
FakeGitは、コピーされたオープンソースプロジェクト、なりすましのGitHubプロフィール、本物らしく作り込まれたREADMEファイル、そして偽のダウンロードパッケージを利用します。
これらのリポジトリは、Gmail、WhatsApp、Databricks、Docker、Jenkins、Walmart、その他の企業システム向けの便利なAI統合機能(SkillやMCPサーバーなど)を提供すると謳っていることが多く見られます。
一例として、リポジトリ「Mann1988/awesome-claude-skills」は、正規プロジェクトである「ComposioHQ/awesome-claude-skills」のブランディングをコピーしていました。
この偽リポジトリはスターやフォークを集めることで、信頼できるように見せかけていました。そのREADMEでは「awesome-skills-claude-3.3.zip」という名前のZIPアーカイブが宣伝されていましたが、研究者らはこれをSmartLoaderのパッケージであると特定しました。
別のリポジトリ「45d5r/databricks-mcp-server」は、263種類のDatabricksツールを備えたMCPサーバーを提供すると謳っていました。
しかし実際のダウンロードパッケージに含まれていたのは正規のサーバーファイルではなく、コマンドランチャー、名前を偽装したLuaJIT風のランタイム、そしてテキストファイルを装った高度に難読化されたLuaペイロードでした。
このランチャーがペイロードを実行すると、永続化を確立し、追加の暗号化されたマルウェアステージを取得できる仕組みになっていました。これらのステージは最終的に、既知の情報窃取型マルウェアファミリーである「StealC」を展開します。
StealCはアクティブなセッションを窃取するため、感染後はパスワードを変更するだけではアカウント乗っ取りを防げない場合があります。Islandはこの手口を「AgentBaiting」と呼んでいます。
これは、AIエージェントが通常の機能検索の過程で自律的に悪意のあるリポジトリを発見し、攻撃者が用意したREADMEを信頼してしまい、そのインストール手順をユーザーに提示してしまうことで発生します。
研究者らはこの挙動を、Claude Code、Gemini、ChatGPTで検証しました。ある検証では、Claude Codeが無料の映画風プロンプトSkillを検索しました。
その結果、正規のプロジェクトと悪意のあるFakeGitリポジトリの両方が見つかりました。一部の実行では、Claude Codeが悪意のあるリポジトリの指示をそのまま繰り返し、実行ファイルのダウンロードとWindowsのセキュリティ警告の回避をユーザーに促してしまいました。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化(例: [.])されています。再有効化は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
より強力なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合
翻訳元: https://cyberpress.org/malicious-ai-skills-surge/
