FakeGit: Eine Kampagne leitet 7.600 GitHub-Repositorien um, um den SmartLoader-Malware zu verbreiten

Eine industrielle soziale Ingenieursoperation verwandelt GitHub in einen Vertriebsvektor: 7.600 gefälschte Repositories, ein und derselbe Loader, eine und dieselbe Lektion über die Hygiene der Lieferkette.

Die Fakten

The Hacker News berichtet am 20. Juli 2026 über eine Kampagne mit dem Namen FakeGit, die 7.600 GitHub-Repositories ausnutzt, die zu böswilligen Zwecken erstellt wurden. Das Ziel: Verbreitung eines Stammes mit dem Namen SmartLoader, einem Loader, der als Sprungbrett für andere nützliche Lasten dient.

Der Vektor nutzt einen gemeinsamen Reflex bei Entwicklern: nach einem Tool, einem Skript, einem Proof of Concept oder einem „Cheat“ auf GitHub zu suchen, zu klonen oder herunterzuladen, ohne die Betreiber zu überprüfen, und dann den Code lokal auszuführen.

Wer ist betroffen

• Entwickler und Studierende, die regelmäßig Snippets und Tools von GitHub ohne Audit beziehen.
• CI/CD-Pipelines, die das git clone von Repositories automatisieren, die in einem README, einem Tutorial oder einem Community-Link angegeben sind.
• Jede Organisation, deren Supply-Chain-Politik die Reputation eines Kontos (Alter, Historie, Contributor, verdächtig aufgeblähte Sterne) nicht überprüft.

Sofortmaßnahmen

1. Kürzliche Klone auditieren: nach Repositories von Konten suchen, die vor kurzem erstellt wurden, mit wenig oder keiner Historie, einem zu polierten README und einer einzigen ausführbaren Datei.
2. CI instrumentieren: alle git clone-Operationen von URLs ablehnen, die nicht in einer Projekt-Whitelist aufgeführt sind; heruntergeladene Binärdateien scannen (YARA, Hash-Reputation).
3. EDR auf Entwickler-PCs: Loader wie SmartLoader zeichnen sich durch DNS-Auflösungs- und Download-Muster der zweiten Stufe aus – Alarme von PowerShell/curl/wget, die von einer IDE-Shell ausgelöst werden, melden.
4. Sensibilisierung: dem Team in Erinnerung rufen, dass „es ist auf GitHub“ keine Garantie für Vertrauen ist. Die Anzahl der Sterne kann manipuliert werden, das Alter eines Kontos kann gelesen werden.

Wichtige Punkte

FakeGit erfindet technisch nichts Neues: Sie industrialisiert. 7.600 Repositories sind kein Opportunismus mehr, sondern eine Infrastruktur. Die Botschaft an unsere Sicherheitsteams ist einfach: GitHub ist ein Vertriebskanal wie jeder andere, und er verdient die gleiche defensive Behandlung wie ein nicht signiertes Drittanbieter-Repository.