페이크깃: 7,600개의 GitHub 저장소를 탈취한 캠페인이 SmartLoader 악성코드 유포

산업적 사회공학 작전이 GitHub를 유통 벡터로 변환: 7,600개의 가짜 저장소, 동일한 로더, 동일한 공급망 위생 교훈.

사실

The Hacker News는 2026년 7월 20일 FakeGit이라는 캠페인이 7,600개의 악의적인 GitHub 저장소를 활용해 SmartLoader라는 바이러스 strains(로더)를 확산시키고 있다고 보도했습니다. 이 로더는 다른 페이로드의 교두보 역할을 합니다.

이 공격은 개발자들에게 흔한 습관, 즉 GitHub에서 도구, 스크립트, PoC 또는 "치트"를 검색한 후, 유지 관리자를 검토하지 않고 클론하거나 로컬에서 코드를 실행하는 점을 악용합니다.

해당 대상

• GitHub에서 스니펫과 도구를 정기적으로 가져오지만 계정을 감사하지 않는 개발자 및 학생
• README, 튜토리얼 또는 커뮤니티 링크에 명시된 저장소를 git clone 자동화하는 CI/CD 체인
• 공급망 보안 정책에서 계정의 평판(계정 연령, 이력, 기여자, 과도한 스타 수)을 확인하지 않는 모든 조직

지금 해야 할 일

1. 최근 클론 감사: 최근 생성된 계정, 이력이 없거나 거의 없는 저장소, 지나치게 polished된 README, 단일 실행 파일로 구성된 저장소를 찾습니다.
2. CI 계측: allowlist에 등록되지 않은 URL의 git clone 거부; 다운로드된 바이너리 스캔(YARA, 해시 평판).
3. 개발자 PC의 EDR: SmartLoader와 같은 로더는 DNS 해결 패턴과 2단계 다운로드 패턴으로 구분됩니다. IDE 셸에서 트리거된 PowerShell/curl/wget 경고를 모니터링합니다.
4. 교육: 팀에게 "GitHub에 있다"는 신뢰의 보장이 아니라는 점을 상기시킵니다. 스타 수는 조작될 수 있으며, 계정의 연령은 확인해야 합니다.

기억해야 할 점

FakeGit은 기술적으로 새로운 것이 아닙니다. 단지 산업화했을 뿐입니다. 7,600개의 저장소는 더 이상 opportunism(기회주의)가 아니라 인프라입니다. 보안 팀에게 전하는 메시지는 간단합니다: GitHub는 다른 배포 채널과 동일하며, 서명되지 않은 타사 저장소와 동일한 방어 조치가 필요합니다.