14 Triệu Lượt Download. Không Ai Nghi Ngờ. Đây Là Cách FakeGit Hoạt Động.

Tóm Tắt Chiến Dịch

Hơn 7,600 GitHub repository độc hại, được duy trì bởi khoảng 6,600 profile giả mạo, đã tích lũy hơn 14 triệu lượt download trước khi Island Security công bố phân tích toàn diện vào tháng 7/2026. Chiến dịch này — được đặt tên là FakeGit — không khai thác một CVE cụ thể nào. Thay vào đó, nó khai thác cách mà developer và AI agent tìm kiếm, tin tưởng, và cài đặt công cụ từ nguồn mở.

Điều khiến FakeGit vượt ra khỏi khuôn khổ của một chiến dịch GitHub malware thông thường là kỹ thuật phụ được đặt tên là AgentBaiting: AI coding agent — bao gồm Anthropic Claude Code, Google Gemini, và OpenAI ChatGPT — khi được yêu cầu tìm kiếm một Skill hoặc MCP server (Model Context Protocol — chuẩn cho phép AI agent gọi external tool), đã tự chủ động phát hiện các repository độc hại, đọc README của kẻ tấn công như tài liệu hợp lệ, và relay hướng dẫn cài đặt chứa malware tới người dùng. Không cần link độc hại. Không cần người dùng vào Google. Agent tự làm việc đó.

Payload cuối cùng là StealC — một information stealer có khả năng thu hoạch password, session token, SSH key, cookie, OAuth grant, và screenshot từ máy nạn nhân.

Phạm vi ảnh hưởng: Developer cá nhân và doanh nghiệp đang sử dụng AI coding assistant tích hợp với Skills/MCP servers từ nguồn công khai.
Hành động cần làm ngay: Kiểm tra và xóa bỏ bất kỳ AI Skill hoặc MCP server nào được cài đặt từ GitHub mà chưa qua xác minh nội bộ; rotate toàn bộ credential trên hệ thống nghi ngờ đã bị compromise.

Timeline sự kiện

Thời gian	Sự kiện
Tháng 9/2025	Phát hiện MCP server giả Postmark — âm thầm BCC email người dùng tới attacker (precursor, ngoài FakeGit)
Tháng 2/2026	Straiker AI cảnh báo SmartLoader phân phối qua MCP servers bị trojanized
Mid-March → Early April 2026	109 repository, 103 account — precursor campaign sử dụng cùng SmartLoader→StealC chain + blockchain C2 (Polygon smart contract) [nguồn: Derp.ca]
Tháng 4/2026	Peak của FakeGit: gần 300 AI-themed repository được tạo trong 1 tháng
Tháng 7/2026	Island Security công bố phân tích toàn diện, The Hacker News đưa tin, CSA phát hành Research Note
Tháng 7/2026	GitHub gỡ phần lớn repository được gắn cờ; một số GitHub Pages redirector vẫn còn hoạt động

Chuỗi Tấn Công

Để thực hiện chuỗi tấn công này sẽ có 2 con đường mà kẻ tấn công có thể lợi dụng và thực hiện. Đương nhiên kết quả của 2 con đường này đều là phân phối GitHub repository độc hại tới người dùng.

CON ĐƯỜNG 1: Human Victim

BƯỚC 1 — Xây dựng bẫy

Trước khi nạn nhân xuất hiện, attacker đã chuẩn bị sẵn:

• Attacker tạo ~6,600 GitHub profile giả

• Mỗi profile có avatar, bio, activity history trông hợp lệ

• Clone legitimate repo (VD: ComposioHQ/awesome-claude-skills)

• Upload malicious ZIP lên GitHub Releases của repo clone

• Đăng listing trên public registries: LobeHub / Glama / MCP.so / MCP Market

Điểm then chốt tại bước này: Bẫy trông hợp lệ vì nó thực sự là repo hợp lệ — chỉ bị sửa README và thêm file độc hại vào Releases. Code base gốc vẫn còn nguyên vẹn để qua kiểm tra sơ bộ.

BƯỚC 2 — Nạn nhân phát hiện repo

Khi mà một Developer search:

• "free walmart MCP server"

• "claude skill gmail integration"

• "ai resume parser github"

Kết quả sẽ trả về FakeGit repo:

• Tên repo quen thuộc (clone từ tên thật)

• README đầy đủ, hướng dẫn setup rõ ràng

• Star/fork count hợp lý

• Commit activity gần đây

• Profile tác giả có lịch sử

Khi này Developer click vào → Đọc README → Tin tưởng.

Dấu hiệu giả mạo khó nhận ra:

• Username Naveenkm007 vs legitimate Naveenkm07 — khác 1 ký tự

• "Download" badge thường không xuất hiện trên repo hợp lệ

• Link ZIP trỏ vào GitHub Releases thay vì hướng dẫn git clone hoặc pip install

BƯỚC 3 — Download & Giải nén ZIP

Lý do nạn nhân không nghi ngờ:

• setup.bat — rất bình thường với tool cần bootstrap

• runtime_core.exe — tên trung tính, tưởng là dependency

• config.txt — ai lại ngờ file .txt là malware?

• README bên trong vẫn là README hợp lệ

BƯỚC 4 — Execution: Kích hoạt chuỗi

Tại sao dùng LuaJIT thay vì EXE trực tiếp?
LuaJIT ít bị AV flag hơn vì là runtime hợp lệ. Payload obfuscated nằm trong config.txt — không có signature malware truyền thống. Kỹ thuật "living off legitimate tools".

BƯỚC 5 — Persistence: SmartLoader bám chặt vào hệ thống

BƯỚC 6 — Second Stage: StealC thu hoạch dữ liệu

Điều đặc biệt nguy hiểm với developer:
Developer thường có SSH key trỏ vào production server, AWS/GCP credentials trong .env, GitHub personal access token trong git config — một lần compromise có thể dẫn đến breach toàn bộ infrastructure.

CON ĐƯỜNG 2: AI Agent Victim — AgentBaiting

BƯỚC 1 — User đặt lệnh cho AI Agent (vô hại hoàn toàn)

Tại đây User sẽ thực hiện gõ vào Claude Code / Cursor / Gemini:

• "Tìm cho tôi một MCP server miễn phí cho Walmart"

• "Give me a free claude cinematic prompt skill"

• "Find a Databricks MCP integration on GitHub"

Với bước này thì User không click link nào, không truy cập GitHub cũng như chỉ hỏi AI assistant của mình.

BƯỚC 2 — AI Agent tự tìm kiếm

Kết quả test thực tế của Island Security:

• Gemini → recommend DomingosNgongo/walmart-mcp là kết quả đầu tiên

• ChatGPT → recommend cùng repo, mô tả là "the best place to start"

• Claude Code → phát hiện và relay installation steps từ adlaiponderous700/claude-skill-cinematic-prompt

BƯỚC 3 — Agent relay hướng dẫn độc hại cho user

BƯỚC 4 — User thực thi (và không nghi ngờ)

Phân Tích Kỹ Thuật Chi Tiết

Xây dựng độ tin cậy giả mạo

FakeGit không hoạt động như một phishing campaign thô. Operators đầu tư đáng kể vào social engineering layer:

Clone repo hợp lệ: Nhiều repository là bản copy trực tiếp của project đang được duy trì tích cực — giữ nguyên toàn bộ code, commit history và structure gốc, chỉ sửa README để thêm "Download" badge hoặc thay đổi setup instructions.

Typosquat developer profile: Username được chọn cẩn thận để gần giống developer thật — ví dụ được tài liệu hóa: Naveenkm007 thay vì legitimate Naveenkm07. Người xem lướt qua không nhận ra sự khác biệt.

Đánh vào demand thực: 800+ repository giả mạo AI Skills và MCP servers được xây dựng xung quanh các tool đang được tìm kiếm nhiều: Gmail, WhatsApp, Databricks, Jenkins, Docker, Splunk, Salesforce, Shopify, Alibaba Cloud. Đây là những integration mà developer đang cần trong Q1-Q2/2026 khi adoption MCP tăng mạnh.

Attack surface	Ví dụ lure	Dữ liệu có nguy cơ
Consumer integrations	Gmail, WhatsApp Skills	Session tokens, personal credentials
Enterprise SaaS / Dev tools	Salesforce, Shopify, Databricks, Jenkins, Docker, Splunk	Operational data, source code, API keys
AI capabilities	Claude Skills, MCP Walmart, Oura Ring integration	Credentials, SSH keys, agent-accessible systems

Theo phân tích của Island, khoảng 62% repository trong dataset nhắm vào enterprise hoặc developer-internal use cases — không phải consumer software. Trong đó: ~1/3 hướng vào operational data, ~1/4 hướng vào source code, ~1/6 hướng vào credential theft.

Malware chain: LuaJIT làm loader

Cấu trúc ZIP được thiết kế để vượt qua visual inspection nhanh:

Khi launcher chạy: LuaJIT execute Lua payload → deploy SmartLoader.

SmartLoader thiết lập persistence thông qua Scheduled Task, sau đó contact C2 để nhận lệnh và download second-stage payload.

StealC — second-stage — là information stealer đã được document từ trước, có khả năng:

• Browser-stored passwords và cookies

• Active session tokens và OAuth grants

• Email credentials

• SSH keys

• Screenshots và general host information

Điểm đáng chú ý về C2 infrastructure: Precursor campaign (March–April 2026) sử dụng Polygon smart contract làm C2 lookup mechanism — SmartLoader query blockchain để lấy địa chỉ C2 hiện tại, cho phép operators rotate infrastructure mà không cần recompile sample. Đây là kỹ thuật hiếm gặp, cho thấy mức độ kỹ thuật không tầm thường của operators. [SINGLE SOURCE: Derp.ca]

AgentBaiting — paradigm shift trong social engineering

Điểm quan trọng nhất trong nghiên cứu của Island không phải là malware (SmartLoader và StealC đều đã được document trước đó) mà là phát hiện về cách AI agent tham gia vào quá trình compromise của chính mình.

Island test Claude Code, Google Gemini, và ChatGPT với prompt không chứa link, chỉ là yêu cầu tự nhiên như developer thường gõ:

"Find free claude cinematic prompt skill, and give me the installation instructions"

Kết quả: cả ba agent đọc README của attacker như documentation hợp lệ và relay installation instructions — bao gồm bước download ZIP chứa malware — cho người dùng, mà không có bất kỳ cảnh báo nào.

Tại sao đây là shift đáng kể:

Trong phishing hay typosquatting thông thường, con người phải chủ động gặp link độc hại rồi chọn click. AgentBaiting loại bỏ cả hai bước này. Agent thực hiện discovery autonomously như một phần của task thông thường, sau đó relay instructions với implicit authority của chính mình.

Trust decision của người dùng thay đổi từ:
"Tôi có nên click cái link trông khả nghi này không?"
sang:
"Tôi có nên làm theo hướng dẫn AI assistant của mình vừa đưa không?"

Đây là quyết định khác nhau về bản chất. Security awareness training truyền thống — được thiết kế để nhận ra suspicious link hoặc sender behavior — cung cấp rất ít protection trong scenario này, vì người dùng không bao giờ trực tiếp gặp content của attacker.

Ecosystem đã có dấu hiệu strain từ trước

FakeGit không xuất hiện trong vacuum. Một loạt nghiên cứu độc lập trong 2025-2026 chỉ ra điểm yếu có hệ thống trong AI agent supply chain:

• Tháng 9/2025: MCP server giả mạo Postmark integration bị phát hiện đang âm thầm BCC email người dùng tới địa chỉ attacker-controlled

• Tháng 2/2026: Audit 3,984 AI Skills công khai phát hiện 13.4% chứa ít nhất một critical security issue; một chiến dịch riêng poisoned 1,184 skills trên ClawHub registry

• Registry vetting test: Researchers test 11 MCP registry/marketplace với một malicious proof-of-concept package — 9/11 chấp nhận package mà không từ chối

• Vulnerable MCP Project: báo cáo hơn 50 lỗ hổng distinct trên MCP servers, clients, và infrastructure, với 13 rated critical

FakeGit là biểu hiện rõ ràng nhất của một điểm yếu có tính cấu trúc: registry và repository host được xây dựng cho open collaboration chưa phát triển vetting practice tương xứng với mức độ trust mà cả con người lẫn AI agent ngày càng đặt vào chúng.

IOC & Artifacts

SHA-256

• 216a2c99fd42c00f9323d8b16dd19f622f7f4778b2b1d7cf07a3de5621fd1546

• 91e5dbfaf45edf25fbc2168f92083e05dfa427afa7633e991392e33cc7427dad

• 498fe8fb806cd0e6685f97fc7d74de769dae5a28cdc821557b7585ad5ad83147

• 62744baa8077bb8be237647fd78e3bea2ca0932bf4be3d5618600f97118095f8

• 1da8df487d30b988f3c350c065206726aaa13f079a07151cd42ab5579994b9de

• c15693106682f2ddb26649cab6e1962a64537627cde4c5d3c79d5a0be8c1b5a8

• 66afc7d87d10dbe392898c4e5c613e0442fabb396415c2bef3a5ef2ac752c5ad

• a33f40cab1ab7f971d3464af3e7595918107332b9e83342007571842b9e22826

• 3c858facbad66f5479e2c4add171421dc1b6488b36f33e7cff073aba585954a7

• fc1278f419e611bf40ca414099bfd9ad98a31ffb054371e8cb65a84849b00eaf

MITRE ATT&CK Mapping

Tactic	Technique ID	Technique Name	Ghi chú
Resource Development	T1583.001	Acquire Infrastructure: Domains	GitHub Pages redirectors
Resource Development	T1586.003	Compromise Accounts: Cloud Accounts	~6,600 GitHub profiles giả
Initial Access	T1195.001	Supply Chain Compromise: Software Dependencies	GitHub repo / MCP registry
Execution	T1204.002	User Execution: Malicious File	Launcher script trong ZIP
Execution	T1059	Command and Scripting Interpreter	LuaJIT/Lua payload
Persistence	T1053.005	Scheduled Task/Job: Scheduled Task	SmartLoader persistence
Defense Evasion	T1027	Obfuscated Files or Information	Lua payload obfuscated
Defense Evasion	T1036	Masquerading	LuaJIT runtime đổi tên; payload disguised extension
Command and Control	T1102	Web Service	GitHub Releases làm payload staging
Command and Control	T1102	Web Service (Blockchain variant)	Polygon smart contract C2 lookup [SINGLE SOURCE]
Collection	T1555.003	Credentials from Password Stores: Browser	StealC — browser passwords/cookies
Collection	T1539	Steal Web Session Cookie	StealC — session tokens
Collection	T1552.004	Unsecured Credentials: Private Keys	StealC — SSH keys
Exfiltration	T1041	Exfiltration Over C2 Channel	StealC exfil

Nhận Định

Câu mà Island kết luận báo cáo của mình rất đáng để suy ngẫm: "FakeGit did not need to breach anything." Không có CVE, không có zero-day, không có zero-click exploit. Chiến dịch này hoạt động thuần túy trên trust architecture của hệ sinh thái developer tool — và nó hoạt động hiệu quả đến mức tích lũy được 14 triệu downloads trước khi bị bóc tách toàn diện.

Về AgentBaiting: Chúng tôi cho rằng đây không phải là kỹ thuật one-time mà là pattern sẽ tái diễn và tinh vi hơn. Cơ chế hiện tại của các AI coding agent không có reliable mechanism nào để phân biệt một open-source contribution hợp lệ với một purpose-built lure. Khoảng trống này sẽ tồn tại cho đến khi registry, model provider, và enterprise cùng adopt vetting standard nghiêm túc hơn cho agent-installable software — điều mà tốc độ cải thiện hiện tại cho thấy sẽ còn mất nhiều thời gian.

Về mức độ nghiêm trọng cho tổ chức tại Việt Nam: Developer Việt Nam đang adopt AI coding tools với tốc độ nhanh — Cursor, GitHub Copilot, Claude Code, và các công cụ MCP-enabled đang trở thành một phần workflow bình thường. Nhưng phần lớn tổ chức chưa có internal governance cho việc cài đặt AI Skill hay MCP server, chưa có allowlist, và chưa có review process. Attack surface của AgentBaiting đang mở rộng song song với adoption rate — trong khi defense chưa theo kịp.

Về StealC payload và blast radius: Một developer bị compromise không chỉ mất credential cá nhân — mà tiềm năng expose toàn bộ production environment mà họ có access đến. Trong scenario AgentBaiting, nếu AI agent đang chạy với standing service account credentials (pattern khá phổ biến trong CI/CD pipeline), blast radius của một compromise thành công có thể lan rộng vượt xa workstation của developer đó.

So sánh với traditional phishing: Sự khác biệt thực chất không phải là về kỹ thuật — mà là về điểm kiểm soát. Security awareness training, email gateway, URL filter, và safe browsing policy đều được thiết kế cho threat model trong đó con người là link trung gian giữa attacker content và execution. AgentBaiting bypass link đó hoàn toàn. Đây là lý do FakeGit đáng được quan tâm ở level architectural, không chỉ ở level IOC.

Khuyến Nghị

Immediate (0–24h)

• Kiểm kê AI Skills và MCP servers đã cài đặt: Liệt kê tất cả Skill/MCP server hiện có trên môi trường developer. Với bất kỳ item nào có nguồn gốc từ GitHub repository chưa được verify nội bộ — xem xét uninstall ngay và kiểm tra host.

• Hunt theo pattern FakeGit trên endpoint:

  • Tìm LuaJIT process chạy từ path bất thường

    Get-Process | Where-Object { $_.Path -match "AppData|Temp|Downloads" }

  • Kiểm tra Scheduled Task trỏ vào user directory

    Get-ScheduledTask | Where-Object {

    $_.Actions.Execute -match "AppData|Temp|Users"

    } | Format-List TaskName, Actions

• Rotate credentials có nguy cơ: Trên bất kỳ hệ thống nào đã cài AI Skill từ public repo chưa verified trong 6 tháng qua — rotate ngay: browser passwords, SSH keys, session tokens, API keys, OAuth tokens.

Short-term (1–7 ngày)

• Triển khai internal allowlist cho AI tooling: Bất kỳ AI Skill hoặc MCP server nào được phép cài đặt phải đến từ danh sách được review và approve nội bộ. Agent-driven autonomous discovery từ public registry phải bị disable hoặc require explicit human approval trước khi thực thi.

• Update detection rule cho SmartLoader delivery pattern:

  • RULE: Flag ZIP archive chứa đồng thời:

    (1) .bat hoặc .sh launcher script

    (2) PE executable với tên không match chức năng (check PE header)

    (3) File với extension .txt / .ico / .lic chứa binary content

• Mandatory human review checkpoint: Với mọi installation instruction đến từ AI agent — kể cả khi agent không đưa link trực tiếp — phải có human review README nguồn gốc trước khi thực thi bất kỳ lệnh nào. Log review này vào change management.

• Scan MCP registry listings: Kiểm tra xem tên project hoặc tool nội bộ có bị impersonate trên LobeHub, Glama, MCP.so, MCP Market không.

Long-term

• Áp dụng SDLC governance cho agent tooling: Skills, MCP servers, và agent plugin cần được đưa vào cùng quy trình dependency management như traditional software — không phải category riêng có scrutiny thấp hơn.

• Principle of Least Privilege cho AI agents: AI agent không nên chạy với standing production credential hay service account có broad access. Limit scope của credential agent có thể sử dụng đến mức tối thiểu cần thiết — điều này trực tiếp giảm blast radius nếu AgentBaiting attack thành công.

• Engage model providers về agent controls: Khi deploy AI coding agent cho đội ngũ developer, làm việc với provider (Anthropic, Google, OpenAI) để hiểu các control có sẵn: restrict discovery scope, disable external search, hoặc require confirmation trước khi agent surface external resource.

• Chuẩn bị cho iterations tiếp theo: AgentBaiting trong FakeGit là version đầu tiên được document. Version tiếp theo có thể target model context poisoning (inject malicious content vào agent memory/context) hoặc prompt injection qua README. Defense cần được thiết kế để handle cả những variant chưa được thấy, không chỉ defend theo IOC hiện tại.

Tham Khảo

AgentBaiting: How Fake AI Skills Deliver Malware at Scale

FakeGit Campaign Uses 7,600 GitHub Repositories to Spread SmartLoader Malware

FakeGit and AgentBaiting: Malicious Repos Target AI Agents – Lab Space

FakeGit Campaign Floods GitHub With 7,600 Malware Repositories