「FakeGit」キャンペーン、7,600件のGitHubリポジトリを悪用しSmartLoaderマルウェアを拡散

「FakeGit」と名付けられた大規模な攻撃活動が、7,600件の悪意あるGitHubリポジトリを通じてSmartLoaderおよびStealCマルウェアを拡散しており、これらのリポジトリの累計ダウンロード数は1,400万件を超えています。

800件を超えるリポジトリがAIスキルやMCPサーバーを装っており、公開されているAIレジストリやカタログに600回以上掲載されていました。これによりAIエージェントや開発者に発見される可能性が高まっており、研究者はこの手法を「エージェントベイティング(agentbaiting)」と呼んでいます。

このキャンペーンは、サイバーセキュリティ企業Trend Microの研究者らが「Water Kurita」として追跡している脅威アクターによる、Lumma Stealerを使用した従来の攻撃活動の延長線上にあるものと考えられています。

エンタープライズブラウザプラットフォームのIslandの研究者によると、AIへの焦点は3月に導入され、4月にピークを迎え、AIツールに関連する300件のGitHubリポジトリが作成されました。

研究者らは、FakeGitがAIツール、エージェント、ワークフローに関連する1,400件を超えるリポジトリへと拡大しており、そのすべてがSmartLoaderまたはStealCマルウェアのダウンロードにつながっていることを発見しました。

これらのリポジトリの多くは、Gmail、WhatsApp、Databricks、Jenkins、Dockerといったコンシューマー向け・エンタープライズ向けツールを模倣しており、説得力のあるドキュメント、捏造されたスター数やフォーク数、コピーされたプロジェクト説明文、実在する開発者アカウント名などを含んでいます。

これらのリポジトリのREADMEファイルは、訪問者をインストーラーやプロジェクトのリリースを装ったZIPアーカイブのダウンロードへと誘導しますが、実際にはSmartLoaderを起動させる偽装されたLuaペイロードです。

SmartLoaderが起動すると、スケジュールタスクを通じて永続化を確立し、Polygonスマートコントラクトを介してコマンド&コントロール(C2)のアドレスを取得したうえで、GitHubから追加の暗号化されたステージをダウンロードし、最終的にStealC情報窃取マルウェアを配布します。

AgentBaitingという手法

Islandの研究者らによると、これらの悪意あるリポジトリは「AgentBaiting」と呼ばれる新興の手法の一部であり、AIエージェントへの可視性を高め、利用される可能性を高めるよう設計されています。

典型的なシナリオでは、エージェントがREADMEの内容を正規のドキュメントとして解析し、そのリポジトリやZIPファイルを人間の操作者に推奨してしまう可能性が高いとされています。

Islandのテストでは、ChatGPT、Gemini、Claudeが関連タスクを指示された際に複数の悪意あるリポジトリを表示し、インストール手順をそのまま伝えてしまう場合もありました。

Islandは、公開されているレジストリやカタログにおいて、FakeGitキャンペーンに関連するスキルやMCPサーバーの掲載を600件以上発見しました。その中にはLobeHub、Glama、MCP.so、MCP Marketも含まれており、この攻撃活動がすでにエコシステムに浸透し、公開リソースを汚染していることを示しています。

研究者らは、これらの掲載が手動で登録されたものか自動でインデックス化されたものかは特定できなかったとしていますが、これによりリポジトリが発見されやすくなり、信頼性も高まったと述べています。

Islandの研究者はBleepingComputerに対し、限定的かつ管理された環境でのテストにおいて、Claude Codeが悪意あるリポジトリをクローンし、悪意あるファイルをテストマシンにダウンロードしたことを明らかにしました。

しかし、その後エージェントは不審な兆候を検知し、実行前に停止しました。

このテストは検出率を算出することを目的としたものではないため、コーディングエージェントが実行段階で危険性を一貫して認識できるかどうかについて、確定的な結果を示すものではありません。

このキャンペーンによる影響の広がりについて、Islandは211件のGitFakeリポジトリにまたがる335件の一意なリリースアセットに対するGitHubの公開ダウンロードカウンターが、累計14,084,688件のダウンロードイベントを記録したと報告しています。

Islandのリードセキュリティリサーチャーであるオレグ・ザイツェフ(Oleg Zaytsev)氏は、この数値には繰り返しのリクエストや自動化された活動が含まれているため、感染件数として解釈すべきではないと説明しています。

Islandは、組織に対し、承認済みのスキルおよびMCPサーバーのカタログを維持すること、新しい機能は隔離された環境でテストすること、そして発行元やリポジトリを独自に検証することを推奨しています。

SmartLoaderの実行が疑われる場合は、影響を受けた環境上のすべての機密情報を直ちにローテーションする必要があります。