Una campaña maliciosa denominada FakeGit está utilizando miles de repositorios fraudulentos en GitHub para distribuir SmartLoader, un malware diseñado para establecer persistencia en los equipos comprometidos y descargar amenazas adicionales.
La operación incluye aproximadamente 7,600 repositorios maliciosos, creados desde alrededor de 6,600 perfiles diferentes. Más de 800 de estos proyectos se presentan como herramientas de inteligencia artificial, Skills, complementos o servidores del Model Context Protocol, conocido como MCP.
Los repositorios imitan proyectos legítimos, utilizan perfiles similares a los de desarrolladores reales, incluyen documentación convincente y ofrecen archivos ZIP que supuestamente contienen herramientas funcionales.
En realidad, estos archivos activan una cadena de infección que termina instalando malware en el sistema de la víctima.
¿Qué es la campaña FakeGit?
FakeGit es una operación de distribución de malware que aprovecha la confianza de los usuarios en GitHub y el creciente interés por las herramientas de inteligencia artificial.
Los atacantes publican repositorios que aparentan ofrecer integraciones, automatizaciones, servidores MCP o Skills para plataformas y aplicaciones conocidas.
Entre las herramientas falsificadas se encuentran supuestas integraciones con:
- Gmail.
- WhatsApp.
- Docker.
- Jenkins.
- Databricks.
- Plataformas comerciales.
- Herramientas de productividad.
- Servicios de automatización empresarial.
Los repositorios pueden ser completamente inventados o copias modificadas de proyectos legítimos.
Para aumentar su credibilidad, los atacantes utilizan archivos README detallados, instrucciones de instalación, ejemplos de uso y nombres similares a los de herramientas reales.
Más de 14 millones de descargas
Hasta julio de 2026, los archivos publicados mediante GitHub Releases dentro de esta campaña habían acumulado más de 14 millones de descargas.
Estas descargas se concentraron en aproximadamente 200 repositorios utilizados activamente como parte de la operación.
La cifra no necesariamente representa 14 millones de víctimas únicas, debido a que puede incluir descargas automatizadas, repetidas o realizadas por sistemas de análisis.
Sin embargo, demuestra la capacidad de la campaña para alcanzar una distribución masiva y aprovechar la infraestructura de plataformas legítimas.
Cadena de infección
El proceso de infección comienza cuando un usuario o una herramienta automatizada encuentra uno de los repositorios falsos y sigue las instrucciones de instalación.
El repositorio dirige a la descarga de un archivo ZIP malicioso que contiene los componentes iniciales de la cadena de ejecución.
La secuencia observada incluye:
- El usuario descarga un archivo ZIP desde el repositorio o desde la sección de lanzamientos.
- El contenido ejecuta una cadena basada en LuaJIT.
- Se carga un script Lua ofuscado.
- El script instala o ejecuta SmartLoader.
- SmartLoader establece persistencia en el sistema.
- El malware descarga cargas útiles adicionales.
- Finalmente, puede desplegarse un infostealer como StealC.
SmartLoader funciona como un cargador modular. Su objetivo principal es preparar el sistema comprometido para recibir otras amenazas sin depender de una única carga maliciosa.
Robo de información mediante StealC
Una de las cargas secundarias asociadas con la campaña es StealC, un malware especializado en el robo de información.
Dependiendo de la configuración de la campaña, este tipo de amenaza puede intentar recolectar:
- Credenciales almacenadas en navegadores.
- Cookies de sesión.
- Tokens de autenticación.
- Historial de navegación.
- Información de billeteras digitales.
- Datos de aplicaciones instaladas.
- Archivos almacenados en el sistema.
- Información básica del dispositivo.
- Credenciales de servicios o plataformas de desarrollo.
El robo de cookies y tokens representa un riesgo especialmente importante, debido a que puede permitir que los atacantes accedan a cuentas sin utilizar directamente la contraseña de la víctima.
AgentBaiting: engañar directamente a agentes de inteligencia artificial
Uno de los aspectos más preocupantes de FakeGit es una técnica denominada AgentBaiting.
Esta técnica busca que un agente de inteligencia artificial descubra por sí mismo un repositorio malicioso mientras intenta ayudar al usuario a encontrar una herramienta, un Skill o un servidor MCP.
En este escenario, el usuario no necesita proporcionar directamente un enlace malicioso.
Una consulta aparentemente legítima, como buscar una herramienta gratuita de generación de contenido o una integración MCP para una plataforma conocida, puede provocar que el agente encuentre uno de los repositorios falsificados.
El agente podría interpretar el archivo README como documentación legítima, resumir las instrucciones y recomendarlas al usuario.
El ataque aprovecha el proceso normal de descubrimiento de información realizado por sistemas de inteligencia artificial.
De la ingeniería social humana al engaño de agentes
Tradicionalmente, los repositorios falsos estaban diseñados para engañar a personas.
Los atacantes utilizaban nombres conocidos, descripciones profesionales, ejemplos funcionales y documentación detallada para convencer al usuario de ejecutar archivos maliciosos.
Con AgentBaiting, la misma estrategia puede dirigirse también a sistemas automatizados.
La inteligencia artificial puede encontrar el repositorio, interpretar su documentación y trasladar las instrucciones del atacante al usuario sin reconocer que el proyecto es malicioso.
El problema aumenta cuando los agentes cuentan con capacidades para:
- Descargar archivos.
- Ejecutar comandos.
- Instalar dependencias.
- Modificar configuraciones.
- Acceder a repositorios.
- Utilizar terminales.
- Integrarse con herramientas empresariales.
En agentes con permisos elevados, una recomendación incorrecta puede transformarse rápidamente en una ejecución de código malicioso.
Uso de registros públicos para aparentar legitimidad
Los atacantes también publicaron los falsos Skills y servidores MCP en directorios y registros públicos de herramientas de inteligencia artificial.
Se identificaron más de 600 listados relacionados con la campaña en plataformas públicas de descubrimiento de complementos y servidores MCP.
La presencia en estos directorios puede generar una falsa sensación de confianza, ya que los usuarios pueden asumir que una herramienta ha sido revisada únicamente por aparecer en un catálogo público.
Sin embargo, el listado en un directorio no garantiza que el código sea legítimo, seguro o mantenido por el desarrollador que afirma publicarlo.
Indicadores de un repositorio sospechoso
Los usuarios y equipos de seguridad deben prestar atención a ciertas señales antes de descargar o instalar herramientas desde GitHub.
Entre los principales indicadores se encuentran:
- Perfiles de desarrolladores creados recientemente.
- Repositorios con muchas descargas pero poca actividad real.
- Proyectos sin historial de commits coherente.
- Archivos ZIP como único método de instalación.
- Código fuente incompleto o inexistente.
- Instrucciones que solicitan desactivar protecciones.
- Comandos de PowerShell o terminal sin explicación.
- Scripts ofuscados.
- Binarios sin documentación.
- Nombres muy similares a proyectos legítimos.
- Perfiles que imitan a desarrolladores conocidos.
- Repositorios copiados con cambios mínimos.
- Enlaces externos para descargar dependencias.
- Instrucciones que ejecutan código directamente desde internet.
- Comentarios o estrellas provenientes de cuentas nuevas o sospechosas.
Una gran cantidad de estrellas, descargas o forks no debe utilizarse como único criterio de confianza.
Recomendaciones para usuarios
Antes de instalar una herramienta de inteligencia artificial, Skill, complemento o servidor MCP, se recomienda:
- Verificar la identidad del desarrollador.
- Confirmar que el repositorio pertenece al proyecto oficial.
- Revisar la antigüedad y actividad de la cuenta.
- Examinar el historial de commits.
- Evitar archivos ZIP que no incluyan código fuente verificable.
- Revisar los scripts antes de ejecutarlos.
- Analizar los archivos descargados con herramientas de seguridad.
- Probar el software dentro de una máquina virtual o entorno aislado.
- No ejecutar comandos recomendados por una inteligencia artificial sin validarlos.
- Evitar conceder permisos administrativos innecesarios.
Recomendaciones para organizaciones
Las empresas que incorporen agentes de inteligencia artificial o servidores MCP deben establecer controles específicos.
Se recomienda crear un catálogo interno de herramientas previamente revisadas y permitir únicamente la instalación de componentes aprobados.
También deben implementarse las siguientes medidas:
- Evaluar nuevas capacidades en entornos aislados.
- Restringir el acceso de los agentes a la terminal.
- Aplicar privilegios mínimos.
- Bloquear descargas desde repositorios no autorizados.
- Registrar los comandos ejecutados por agentes.
- Supervisar la instalación de dependencias.
- Verificar la procedencia de Skills y servidores MCP.
- Mantener listas de proyectos y desarrolladores confiables.
- Revisar conexiones salientes generadas por herramientas nuevas.
- Utilizar entornos desechables para pruebas.
- Separar los entornos de experimentación de los sistemas productivos.
Los agentes no deberían poder instalar software, ejecutar archivos o modificar configuraciones sensibles sin aprobación humana.
Riesgo para entornos empresariales
Los falsos servidores MCP representan un riesgo particular porque este protocolo permite conectar modelos de inteligencia artificial con herramientas, datos y servicios externos.
Un servidor MCP malicioso podría intentar acceder a información sensible dependiendo de los permisos concedidos.
Esto puede incluir:
- Correos electrónicos.
- Repositorios privados.
- Bases de datos.
- Sistemas de automatización.
- Credenciales.
- Documentación interna.
- Plataformas en la nube.
- Herramientas de desarrollo.
- Información de clientes.
- Entornos de integración y despliegue continuo.
El riesgo no está limitado al malware instalado en una computadora. También puede afectar las conexiones y permisos otorgados al componente malicioso.
La inteligencia artificial no reemplaza la validación de seguridad
La campaña demuestra que las respuestas generadas por inteligencia artificial no deben considerarse automáticamente seguras.
Un agente puede encontrar información disponible públicamente, pero no siempre puede verificar correctamente la identidad del desarrollador, la legitimidad del código o la intención real de un repositorio.
Las recomendaciones de instalación generadas por IA deben tratarse como sugerencias no verificadas.
Antes de ejecutar cualquier instrucción, debe comprobarse:
- Quién publicó el proyecto.
- Cuándo fue creado.
- Qué archivos contiene.
- Qué comandos ejecutará.
- Qué permisos solicita.
- A qué servidores se conecta.
- Qué información puede consultar.
- Si existe una versión oficial del proyecto.
Conclusión
FakeGit representa una evolución significativa en las campañas de distribución de malware mediante plataformas de desarrollo.
Los atacantes no solo imitan proyectos legítimos para engañar a usuarios, sino que también diseñan sus repositorios para aparecer en búsquedas realizadas por agentes de inteligencia artificial.
La combinación de repositorios falsificados, perfiles similares a desarrolladores reales, documentación convincente, archivos ZIP maliciosos y listados en directorios públicos permite que la campaña alcance una gran cantidad de posibles víctimas.
Las organizaciones deben considerar los Skills, complementos y servidores MCP como componentes de software de terceros que requieren revisión, validación y monitoreo.
La inteligencia artificial puede facilitar el descubrimiento y la instalación de nuevas herramientas, pero también puede convertirse en un canal indirecto para la distribución de malware cuando opera sin controles, aislamiento o supervisión humana.
