AgentBaiting – nowa technika ataku zaobserwowana w kampanii FakeGit

Badacze bezpieczeństwa z firmy Island wzięli na warsztat kampanię cyberprzestępczą, znaną pod kryptonimem FakeGit. W ramach prac wykryto około 7600 złośliwych repozytoriów, z czego ponad 800 podszywało się pod rozszerzenia AI lub serwery MCP. Oferowały one zarówno integracje dla użytkowników prywatnych (Gmail, WhatsApp), jak i narzędzia firmowe (Databricks, Jenkins, Docker). 

TLDR:

• Badacze bezpieczeństwa z firmy Island wykryli nową kampanię, w której atakujący wykorzystali około 7600 złośliwych repozytoriów do propagacji złośliwego oprogramowania.
• Ponad 800 z nich podszywało się pod rozszerzenia AI lub serwery MCP.
• Scenariusz ataku był dosyć prosty: agent AI podczas wyszukiwania rozwiązania natrafiał na zainfekowane repozytoria i realizował (lub przekazywał użytkownikowi) instrukcje umieszczone przez cyberprzestępców w pliku README.md.
• W konsekwencji użytkownik wraz z gotowym rozwiązaniem otrzymywał w pakiecie infostealer – StealC.

Celem atakujących było dostarczenie złośliwego oprogramowania z rodziny SmartLoader, służącego do utrzymania obecności w systemie (persistence) oraz pobrania kolejnych ładunków (np. StealC – infostealer zdolny do masowej kradzieży haseł, ciasteczek sesyjnych i kluczy API z zainfekowanych maszyn). 

W tym miejscu warto zauważyć, że wykorzystanie serwerów MCP do dystrybucji malware nie jest całkowitą nowością. O pierwszych takich przypadkach alarmowali badacze ze Straiker AI oraz Derp.ca. Jednak tym razem to nie człowiek pobierał i instalował złośliwe dodatki, tylko autonomiczny agent AI. Na prośbę użytkownika (np. podczas pisania kodu/skryptu) agent samodzielnie odnajduje złośliwe repozytoria, a następnie podsuwa gotową instrukcję prowadzącą do infekcji systemu. Zjawisko to zostało określone jako AgentBaiting.

Analitycy z Island potwierdzili, że podatność występuje m.in. w Claude Code (Anthropic), Gemini (Google) oraz ChatGPT (OpenAI). Narzędzia te potrafiły samodzielnie odnaleźć złośliwe repozytoria, nawet gdy badacze nie wskazywali do nich bezpośredniego linku. Do lipca 2026 r. odnotowano ponad 14 milionów pobrań złośliwych zasobów z blisko 200 repozytoriów zaangażowanych w kampanię, co świadczy o skali zjawiska.

Jak wyglądał schemat ataku?

Analizując przebieg kampanii można zauważyć, że cyberprzestępcy dołożyli wszelkich starań, aby maksymalnie uwiarygodnić złośliwe repozytoria. Podszywali się pod popularne narzędzia, kopiowali oficjalne repozytoria oraz umieszczali je pod bliźniaczymi nazwami profili z wykorzystaniem literówek (typosquatting).

Występowały również sytuacje, w której atakujący klonowali repozytoria, a następnie publikowali je jako własne. Aby się uwiarygodnić sztucznie nabijali statystyki swoich projektów za pomocą (najprawdopodobniej) farm botów generując dla nich po kilkadziesiąt gwiazdek (stars) oraz forków. W ten sposób, na pierwszy rzut oka repozytorium wydawało się jako sprawdzone, a publikowany kod bezpieczny.

Jedyną zaobserwowaną zmianą był plik README.md. Atakujący zmodyfikowali oficjalną procedurę instalacyjną, tak aby skłonić użytkownika (w tym przypadku agenta AI) do pobrania i uruchomienia złośliwego archiwum ZIP ze SmartLoaderem.

Wewnątrz archiwum nie znajduje się jednak kod serwera MCP ani instalator narzędzia. Obecne są trzy pliki: skrypt startowy .cmd, interpreter LuaJIT oraz zaciemniony skrypt Lua imitujący plik tekstowy. Rolą skryptu startowego jest ciche uruchomienie procesu w tle. Zawiera prostą komendę: start luau.exe ico64.txt, inicjującą wieloetapowy proces infekcji. Efektem końcowym jest instalacja infostealera StealC. Dzięki niemu cyberprzestępcy mogą wykradać hasła zapisane w przeglądarkach, pliki cookie, aktywne sesje oraz poznać szczegółowe informacje o hoście.

Opisana kampania pokazuje, jak cyberprzestępcy dostosowują swoje metody do nowych technologii. Wykorzystanie nowej techniki ataku – AgentBaiting stanowi doskonały tego przykład. Użytkownik nie musi klikać w złośliwy link ani samodzielnie wykonywać instrukcje wskazane przez cyberprzestępców. Wystarczy, że w trakcie pracy przyzna agentowi AI uprawnienia do instalacji wyszukanych dodatków lub po prostu napisze prompt w stylu: “Podaj mi link do darmowego serwera MCP dla platformy Jenkins”.

Problem staje się o tyle poważny, że zainfekowane rozszerzenia lub serwery MCP trafiają do publicznych rejestrów (np. MCP.so), co zapewnia im odpowiednią wiarygodność. Ponadto publikacja złośliwych dodatków jako projekty open source na GitHubie, wzbogacone o “sztucznie nabite” gwiazdki i forki skutecznie usypia czujność zarówno użytkowników jak i wyszukujących je agentów.

Aby uniknąć zagrożenia, należy przede wszystkim skrupulatnie weryfikować źródła, z których agent AI pobiera instrukcje oraz kod. Zamiast pozwalać agentowi przeszukiwać cały internet w poszukiwaniu rozwiązania, zaleca się ograniczyć jego dostęp do wcześniej sprawdzonych i przetestowanych repozytoriów.

Agent nie powinien posiadać uprawnień do samodzielnego pobierania, rozpakowywania i uruchamiania plików wykonywalnych. Każda taka operacja powinna zostać zaakceptowana przez użytkownika. Należy również pamiętać, że każde wdrażane rozwiązanie powinno być najpierw testowane w odizolowanym środowisku i przeanalizowane pod kątem rzeczywistego zachowania, zamiast wdrażać je bezpośrednio na produkcję.

Źródło: island.io/blog/ 

~_secmike