FakeGit: кампания похищает 7 600 репозиториев GitHub для распространения вредоносного ПО SmartLoader

Промышленная операция социальной инженерии превращает GitHub в вектор распространения: 7 600 поддельных репозиториев, один и тот же загрузчик, один и тот же урок гигиены цепочки поставок.

Факты

The Hacker News сообщает 20 июля 2026 года о кампании под названием FakeGit, которая эксплуатирует 7 600 репозиториев GitHub, созданных с вредоносными целями. Цель: распространение штамма под названием SmartLoader — загрузчика (loader), который служит трамплином для других полезных нагрузок.

Вектор атаки использует распространённую привычку разработчиков: искать инструмент, скрипт, пример кода или «читы» на GitHub, клонировать или скачивать без проверки поддерживающих, а затем запускать код локально.

Кого это касается

• Разработчиков и студентов, которые регулярно используют сниппеты и инструменты с GitHub без аудита.
• CI/CD-цепочки, которые автоматически выполняют git clone репозиториев, указанных в README, руководстве или сообществе.
• Любые организации, чья политика управления цепочкой поставок не проверяет репутацию аккаунта (возраст, история, участники, подозрительно завышенное количество звёзд).

Что делать сейчас

1. Аудит недавних клонов: искать репозитории от недавно созданных аккаунтов с малым или отсутствующим историком, с чересчур идеальным README и единственным исполняемым файлом.
2. Инструментирование CI: отказывать в git clone URL, не внесённой в разрешительный список проекта; сканировать загруженные бинарные файлы (YARA, проверка репутации хешей).
3. EDR на рабочих станциях разработчиков: загрузчики вроде SmartLoader выделяются по паттернам разрешения DNS и загрузки второго этапа — поднимать оповещения о PowerShell/curl/wget, запущенных из оболочки IDE.
4. Просветительская работа: напоминать команде, что «это на GitHub» не является гарантией доверия. Количество звёзд можно подделать, возраст аккаунта — подменить.

На заметку

FakeGit не изобретает ничего нового технически: она индустриализирует атаку. 7 600 репозиториев — это уже не случайность, а инфраструктура. Для наших команд безопасности сообщение простое: GitHub — это такой же канал распространения, как и любой другой, и он заслуживает такого же оборонительного подхода, как неподписанный сторонний репозиторий.