La seguridad en la cadena de suministro de software vuelve a estar en el punto de mira. Recientemente, se ha detectado una reactivación masiva de la campaña conocida como FakeGit, que utiliza la plataforma GitHub para distribuir software malicioso a gran escala. Según informes de investigadores de ciberseguridad, la cifra de repositorios comprometidos asciende ya a 17.610.
¿En qué consiste el ataque?
Los atacantes han automatizado la creación y el uso de repositorios en GitHub que aparentan ser proyectos legítimos. Estos repositorios incluyen instrucciones detalladas en sus archivos README, diseñadas para engañar a los desarrolladores y usuarios para que descarguen un archivo ZIP. Al ejecutar el contenido de este archivo, el sistema queda infectado con SmartLoader, un malware que actúa como vector para desplegar otras amenazas, incluyendo el infostealer StealC, capaz de robar credenciales y datos sensibles.
¿Por qué es tan difícil de detener?
La persistencia de esta campaña radica en su capacidad de adaptación:
- Reutilización masiva: Los atacantes no siempre crean nuevos repositorios; simplemente reutilizan infraestructuras existentes, cambiando los enlaces de descarga para eludir las listas de bloqueo.
- Dispersión de la carga: Los archivos maliciosos se ocultan en forks, versiones antiguas, assets de lanzamientos o archivos adjuntos en issues, lo que hace que la eliminación de un único enlace sea ineficaz.
- Evasión de bloqueos: Los bloqueos de DNS a nivel de dominio son insuficientes, ya que no se puede bloquear un archivo específico en GitHub sin afectar a la plataforma completa.
Recomendaciones para las empresas
Para mitigar los riesgos derivados de este tipo de ataques, desde Intedya recomendamos:
- Verificación estricta: Validar siempre la identidad del propietario de un repositorio antes de clonar código o descargar archivos.
- Uso de fuentes oficiales: Obtener librerías, componentes de IA o servidores MCP exclusivamente de registros oficiales o repositorios verificados por los proveedores.
- Respuesta ante incidentes: Si sospecha que un sistema ha sido infectado con SmartLoader, trate el incidente como una brecha de seguridad grave. Es imperativo revocar sesiones activas, invalidar tokens de acceso y migrar hacia sistemas de autenticación basados en passkeys.
Este incidente subraya la importancia de mantener una postura de Zero Trust incluso al interactuar con plataformas de desarrollo ampliamente confiables.
Fuentes
- Bleeping Computer — FakeGit malware campaign returns with 17,610 malicious GitHub repos
https://www.bleepingcomputer.com/news/security/fakegit-malware-campaign-returns-with-17-610-malicious-github-repos/