O crescimento acelerado das ferramentas baseadas em Inteligência Artificial (IA) está transformando a forma como desenvolvedores escrevem código, automatizam tarefas e integram serviços. Ao mesmo tempo, essa evolução abriu espaço para uma nova geração de ataques contra a cadeia de suprimentos de software. A mais recente descoberta dos pesquisadores de segurança mostra como criminosos estão explorando a confiança em repositórios públicos para atingir tanto usuários quanto agentes de IA.
Batizada de FakeGit, a operação utiliza milhares de repositórios fraudulentos hospedados no GitHub para distribuir o SmartLoader, um carregador de malware que instala o infostealer StealC. O ataque vai além da engenharia social tradicional ao empregar uma técnica inédita chamada AgentBaiting, desenvolvida para aumentar as chances de que agentes inteligentes, como ChatGPT, Claude Code e Google Gemini, encontrem e recomendem projetos maliciosos durante buscas automatizadas.
A descoberta chama atenção porque coincide com a popularização do Model Context Protocol (MCP) e de ecossistemas de ferramentas voltados para agentes autônomos. À medida que esses sistemas passam a localizar bibliotecas, conectores e servidores automaticamente, cresce também o interesse dos criminosos em manipular esse processo.
O que é a operação FakeGit
A FakeGit é uma operação de larga escala voltada para a distribuição de malware por meio de repositórios falsos no GitHub. Em vez de explorar vulnerabilidades técnicas diretamente, os responsáveis apostam em um método mais eficiente: convencer desenvolvedores de que estão baixando um projeto legítimo.
A investigação revelou a existência de aproximadamente 7.600 repositórios fraudulentos, distribuídos por cerca de 6.600 contas criadas especificamente para essa finalidade. A quantidade impressiona não apenas pelo volume, mas pela qualidade da fraude.
Os repositórios imitam projetos populares utilizados diariamente por desenvolvedores e equipes de infraestrutura. Entre eles estão ferramentas relacionadas ao Docker, Jenkins, Databricks, Gmail e diversas outras soluções amplamente conhecidas no ecossistema de desenvolvimento.
Em muitos casos, os criminosos copiaram a estrutura completa dos projetos originais, incluindo documentação, capturas de tela, exemplos de configuração e instruções de instalação. À primeira vista, torna-se extremamente difícil distinguir um repositório falso do verdadeiro.
Essa estratégia explora justamente um dos pilares do desenvolvimento moderno: a confiança em plataformas abertas de compartilhamento de código.
Como os repositórios falsos convencem as vítimas
Grande parte dos desenvolvedores pesquisa soluções diretamente no GitHub ou em mecanismos de busca antes de implementar uma biblioteca ou ferramenta.
Os criminosos entenderam esse comportamento e investiram na criação de projetos visualmente idênticos aos originais.
Os arquivos README são cuidadosamente elaborados, reproduzindo descrições técnicas, listas de funcionalidades, comandos de instalação e até históricos aparentes de desenvolvimento. Em alguns casos, o número de arquivos e a organização do projeto também são semelhantes aos repositórios legítimos.
O objetivo é reduzir qualquer suspeita durante a análise inicial.
Quando o usuário acredita estar baixando uma ferramenta legítima, acaba executando arquivos que iniciam toda a cadeia de infecção.
Esse modelo dispensa campanhas tradicionais de phishing ou anexos enviados por e-mail. Basta que alguém encontre o projeto durante uma pesquisa ou receba sua indicação por terceiros.
Da instalação ao SmartLoader
Depois que o projeto é baixado, inicia-se o primeiro estágio da infecção.
Os repositórios normalmente disponibilizam arquivos compactados em ZIP, contendo scripts aparentemente necessários para a instalação ou configuração da ferramenta.
Na realidade, esses arquivos incluem códigos altamente ofuscados escritos em Lua e LuaJIT.
O uso dessas linguagens não é casual. Elas permitem criar scripts leves, flexíveis e mais difíceis de analisar por soluções tradicionais de segurança, principalmente quando combinadas com técnicas de ofuscação.
Esses scripts executam o SmartLoader, responsável por estabelecer a persistência do malware no sistema comprometido.
Mais do que um simples instalador, o SmartLoader funciona como um carregador modular.
Sua missão é preparar o ambiente, verificar características da máquina, estabelecer comunicação com a infraestrutura dos criminosos e baixar cargas adicionais conforme os objetivos da campanha.
Essa arquitetura oferece enorme flexibilidade aos operadores, que podem alterar os componentes distribuídos sem modificar os repositórios utilizados na infecção.
O papel do StealC no roubo de informações
Após o SmartLoader concluir seu trabalho, entra em ação o StealC, um dos infostealers mais ativos dos últimos anos.
Esse tipo de malware é desenvolvido especificamente para coletar informações armazenadas no computador da vítima.
Entre os principais alvos estão:
- Credenciais salvas em navegadores;
- Cookies de autenticação;
- Tokens de acesso;
- Carteiras de criptomoedas;
- Dados de preenchimento automático;
- Histórico de navegação;
- Informações armazenadas por aplicações corporativas.
O roubo dessas informações pode permitir invasões de contas pessoais, ambientes corporativos, plataformas em nuvem e serviços de desenvolvimento.
Para organizações, o comprometimento de apenas uma estação de trabalho pode servir como porta de entrada para ataques mais amplos contra toda a infraestrutura.
AgentBaiting: quando a IA também se torna alvo
O aspecto mais inovador da operação não está apenas na distribuição do malware.
Os pesquisadores identificaram uma técnica chamada AgentBaiting, criada para explorar o comportamento dos novos agentes autônomos baseados em IA.
Tradicionalmente, ataques de engenharia social tentam convencer uma pessoa a clicar em um link ou instalar determinado programa.
No AgentBaiting, o alvo inicial pode ser um agente inteligente.
Ferramentas como ChatGPT, Claude Code e Google Gemini estão cada vez mais integradas ao fluxo de desenvolvimento de software. Elas pesquisam documentação, sugerem bibliotecas, encontram ferramentas e ajudam na configuração de ambientes.
À medida que esses agentes ganham autonomia, também passam a depender de fontes externas para localizar recursos.
É justamente esse comportamento que os criminosos procuram explorar.
Ao publicar milhares de projetos falsos altamente convincentes, aumenta a probabilidade de que esses repositórios apareçam em buscas automatizadas realizadas por agentes inteligentes.
Em vez de enviar um link malicioso diretamente ao usuário, o criminoso tenta fazer com que a própria IA encontre e recomende o projeto comprometido.
Essa mudança representa uma evolução importante nos ataques contra a cadeia de suprimentos.
O papel do Model Context Protocol
A popularização do Model Context Protocol (MCP) acelerou a integração entre modelos de linguagem e aplicações externas.
O protocolo facilita a comunicação entre agentes de IA e diferentes serviços, permitindo acesso a bancos de dados, APIs, ambientes de desenvolvimento e diversas outras ferramentas.
É importante destacar que o MCP não representa uma vulnerabilidade.
O risco surge quando agentes recebem autorização para descobrir automaticamente servidores, ferramentas ou conectores publicados em diretórios públicos sem qualquer processo adicional de validação.
Nesse cenário, projetos fraudulentos podem ganhar visibilidade e acabar sendo apresentados como alternativas legítimas.
A operação FakeGit demonstra justamente como criminosos já começaram a explorar essa nova superfície de ataque.
Como reduzir os riscos
A melhor defesa continua sendo a validação rigorosa da origem do software.
Para equipes de desenvolvimento e administradores de sistemas, algumas medidas tornam esse tipo de ataque significativamente menos eficaz.
Sempre que possível, utilize catálogos internos de ferramentas aprovadas, evitando depender exclusivamente de pesquisas públicas.
Antes de instalar qualquer projeto encontrado no GitHub, verifique cuidadosamente o histórico do repositório, o perfil do mantenedor, o número de contribuidores e sinais que indiquem autenticidade.
Também é recomendável executar novas ferramentas em ambientes isolados (sandbox) antes de incorporá-las aos sistemas de produção.
Empresas que utilizam agentes de IA devem restringir permissões automáticas para instalação de componentes externos e estabelecer processos de aprovação humana para novos conectores, servidores MCP e integrações.
Ferramentas de análise da cadeia de suprimentos, verificação de dependências e monitoramento contínuo também ajudam a identificar alterações suspeitas antes que elas provoquem impactos reais.
A cadeia de suprimentos da IA exige novas estratégias de defesa
A operação FakeGit mostra que a evolução da Inteligência Artificial está modificando também a forma como campanhas maliciosas são planejadas.
Em vez de explorar apenas vulnerabilidades técnicas, os criminosos passaram a manipular a confiança depositada em plataformas abertas e, mais recentemente, o comportamento dos próprios agentes inteligentes.
O uso combinado de repositórios fraudulentos, SmartLoader, StealC e da técnica AgentBaiting demonstra que os ataques à cadeia de suprimentos estão entrando em uma nova fase, na qual humanos e sistemas automatizados podem ser enganados utilizando exatamente as mesmas estratégias.
Para desenvolvedores, administradores Linux, profissionais de DevOps e especialistas em segurança da informação, o alerta é claro: à medida que agentes de IA passam a participar ativamente do desenvolvimento de software, torna-se indispensável estabelecer processos robustos de validação, auditoria e governança sobre todas as ferramentas utilizadas.
A confiança continuará sendo um dos pilares do ecossistema open source, mas ela precisará ser acompanhada de mecanismos cada vez mais rigorosos de verificação. Em um cenário onde a IA também pesquisa, recomenda e executa componentes, proteger a cadeia de suprimentos deixou de ser apenas uma boa prática e passou a ser um requisito fundamental para a segurança das organizações.
