La campaña de malware FakeGit regresa con 17.610 repositorios maliciosos de GitHub.

Más de 17.000 repositorios falsos en GitHub están distribuyendo el malware SmartLoader tras la reactivación de la campaña FakeGit a principios de este mes para impulsar el malware de robo de información StealC.

El operador utiliza principalmente cuentas desechables, pero los investigadores identificaron al menos 700 cuentas que parecen pertenecer a desarrolladores legítimos.

Los repositorios maliciosos utilizan instrucciones README convincentes con un botón de descarga que enlaza a un archivo ZIP que contiene la carga útil inicial, SmartLoader, la cual se utiliza para distribuir otro malware.

Si bien se ha observado actividad similar con diversas cargas útiles desde al menos enero, el término FakeGit se asoció con esta operación en julio, cuando investigadores de la plataforma de navegador empresarial Island publicaron un informe sobre 7.600 repositorios falsos de GitHub que distribuían el malware SmartLoader.

Island señaló entonces que 800 de los repositorios maliciosos se hacían pasar por habilidades de IA o servidores MCP que aparecían en registros y catálogos públicos de IA.

Un nuevo informe de investigadores de Apiiro, plataforma de seguridad para la cadena de suministro de software, indica que FakeGit reanudó su actividad el 4 de octubre y ahora utiliza 17.610 repositorios en GitHub.

En tan solo 34 horas, FakeGit subió más de 13.000 repositorios, alcanzando un pico de 2.999 por hora.

«En las confirmaciones que analizamos, el 97% solo modificaba el archivo README, y el 88% apuntaba a un archivo ZIP que instala SmartLoader», afirma Apiiro.