แคมเปญ FakeGit ใช้ GitHub Repository กว่า 7,600 แห่ง แพร่กระจายมัลแวร์ชื่อ SmartLoader

นักวิจัยด้านความปลอดภัยทางไซเบอร์ ตรวจพบ GitHub Repository ที่เป็นอันตรายเกือบ 7,600 รายการ โดยในจำนวนนี้มีมากกว่า 800 รายการที่แอบอ้างเป็น AI Skills หรือ Model Context Protocol (MCP) Server เพื่อใช้แพร่กระจายมัลแวร์ตระกูลหนึ่งที่รู้จักกันในชื่อ SmartLoader ซึ่งเป็นส่วนหนึ่งของแคมเปญที่กำลังดำเนินอยู่ภายใต้ชื่อ FakeGit

Oleg Zaytsev หัวหน้านักวิจัยด้านความปลอดภัยจาก Island ระบุในรายงานที่แบ่งปันให้กับ The Hacker News ว่า "FakeGit ใช้การคัดลอกโปรเจกต์ การปลอมโปรไฟล์นักพัฒนาให้มีลักษณะคล้ายของจริง การจัดทำไฟล์ README ที่ดูน่าเชื่อถือ และไฟล์ ZIP ที่เป็นอันตราย เพื่อแพร่กระจายมัลแวร์ SmartLoader"

เป้าหมายสุดท้ายของการโจมตีเหล่านี้ คือการใช้สิทธิ์การเข้าถึงที่ได้จาก SmartLoader เพื่อสร้างช่องทางการเข้าถึงระบบ (Persistence) และปล่อย Payload ลำดับถัดไป เช่น StealC ซึ่งเป็น Infostealer ที่สามารถเก็บรวบรวมข้อมูลได้หลากหลายประเภทจากระบบที่ถูกโจมตี

ทั้งนี้ เป็นที่น่าสังเกตว่า การใช้ MCP Server ที่ถูกฝัง Trojan เพื่อแพร่กระจาย SmartLoader และ StealC นั้น เคยถูกเปิดเผยมาก่อนแล้วในช่วงต้นปีนี้โดย Straiker AI และต่อมาโดย Derp[.]ca อย่างไรก็ตาม สิ่งที่น่ากังวลของ FakeGit คือวิวัฒนาการที่ขับเคลื่อนด้วย AI ซึ่งถูกเรียกว่า AgentBaiting

เหตุการณ์นี้จะเกิดขึ้นเมื่อ AI Agent ที่กำลังค้นหา Skill หรือ MCP Server บังเอิญไปพบกับ GitHub Repository ปลอมเหล่านี้เข้า ส่งผลให้ AI ดำเนินการตามความต้องการของผู้โจมตีด้วยตัวเอง โดยไม่ต้องมีการแทรกแซงจากผู้ใช้งานที่เป็นมนุษย์เลย

Island ระบุว่า จากการทดสอบพบว่า Anthropic Claude Code, Google Gemini และ OpenAI ChatGPT ต่างก็มีความเสี่ยงต่อการถูกหลอกลวงในลักษณะนี้ ซึ่งทำให้ AI เหล่านี้เข้าถึง Repository ที่เป็นอันตรายของแคมเปญ แม้จะไม่ได้รับลิงก์โดยตรงก็ตาม กล่าวอีกนัยหนึ่งคือ เทคนิคที่เดิมทีถูกออกแบบมาเพื่อใช้ Social Engineering กับมนุษย์ ในตอนนี้ได้พัฒนาจนมีความสามารถในการหลอกลวง AI Agent ที่ทำงานแทนมนุษย์ได้เช่นเดียวกัน

จากทั้งหมด 7,600 Repository ที่เป็นอันตราย ซึ่งถูกสร้างขึ้นโดยประมาณ 6,600 โปรไฟล์ มีจำนวน 800 รายการที่แอบอ้างเป็น Skills หรือ MCP Server สำหรับการใช้งานทั้งในระดับบุคคล และระดับองค์กร ตั้งแต่การเชื่อมต่อกับ Gmail และ WhatsApp ไปจนถึงเครื่องมืออย่าง Databricks, Jenkins และ Docker โดย ณ เดือนกรกฎาคม 2026 ปฏิบัติการ FakeGit มียอดดาวน์โหลดรวมแล้วมากกว่า 14 ล้านครั้ง ผ่าน GitHub Release assets ในราว 200 Repository ของแคมเปญ

Zaytsev อธิบายว่า "Repository เหล่านี้ถูกออกแบบมาเพื่อตอบสนองความต้องการที่กำลังเพิ่มขึ้นรอบ ๆ ความสามารถด้าน AI โดยการแอบอ้างชื่อ และรูปแบบการทำงานของเครื่องมือที่ผู้ใช้งาน และองค์กรคุ้นเคย" พร้อมเสริมว่า "ความคุ้นเคยดังกล่าวทำให้ไฟล์ ZIP ที่เป็นอันตรายมีเหตุผลที่น่าเชื่อถือพอที่จะถูกดาวน์โหลด ในขณะที่ไฟล์ README ก็คอยชี้นำผู้ใช้งาน หรือ Agent จากสิ่งที่ดูเหมือนเป็นขั้นตอนการติดตั้งตามปกติ ให้เข้าสู่การโจมตีของ SmartLoader"

Repository ปลอมเหล่านี้ ไม่ว่าจะถูกสร้างขึ้นใหม่ทั้งหมด หรือคัดลอกมาจากโปรเจกต์ที่ถูกต้องตามปกติ จะทำหน้าที่เป็นช่องทางในการส่งไฟล์ ZIP ซึ่งจะถูกนำไปใช้ทำให้การทำงานของ LuaJIT loader chain ที่นำไปสู่การรันสคริปต์ Lua ที่ถูก Obfuscated อันเป็นตัวการในการปล่อย SmartLoader จากนั้น Loader ก็จะดำเนินการติดตั้ง StealC ต่อไป

AgentBaiting ยิ่งทำให้ภัยคุกคามนี้ทวีความรุนแรงมากขึ้น เนื่องจากเปิดโอกาสให้เกิดสถานการณ์ที่ AI Agent สามารถถูกหลอกให้ไปค้นพบ FakeGit Repository ได้ด้วยตัวเอง โดยไม่จำเป็นต้องกรอกลิงก์ที่เป็นอันตรายให้ เพียงแค่กรอกพรอมต์ในลักษณะเช่น "Find free claude cinematic prompt skill, and give me the installation instructions" หรือ "give me a free walmart MCP server link"

Island ระบุว่า "ในระหว่างที่พยายามทำงานให้สำเร็จ AI Agent อาจพบ FakeGit Repository ได้ด้วยตัวเอง แล้วพิจารณาว่าไฟล์ README นั้นเป็นเอกสารประกอบที่ถูกต้อง ก่อนจะส่งต่อคำสั่งของผู้โจมตีไปยังผู้ใช้งาน" และเสริมว่า "FakeGit ได้สร้างกับดักสำหรับหลอกลวง AI ขึ้นมาโดยอาศัยช่องทางนี้"

เทคนิคดังกล่าวแสดงให้เห็นอีกครั้งว่า ปฏิบัติการค้นหาข้อมูลโดยอาศัย AI ตามปกติทั่วไปนั้น สามารถถูกเปลี่ยนให้กลายเป็นช่องทางสำหรับการรันโค้ดที่เป็นอันตรายได้อย่างไร ซึ่งเป็นปัญหาที่ยิ่งทวีความรุนแรงมากขึ้น เมื่อ Skills หรือ MCP Server ที่เป็นอันตรายเหล่านั้นถูกนำไปประกาศไว้บน Public Registries อย่าง LobeHub, Glama, MCP.so และ MCP Market ซึ่งทำให้ดูเหมือนมีความน่าเชื่อถือมากขึ้น ทั้งนี้ มีการตรวจพบรายการของแคมเปญมากกว่า 600 รายการ กระจายอยู่ตาม Public Registries ของ MCP และ Skill ต่าง ๆ

เพื่อรับมือกับภัยคุกคามนี้ ผู้เชี่ยวชาญแนะนำให้ดำเนินการดังนี้

• จัดทำแคตตาล็อกของ Skills, MCP Server และ Agent Plugin ที่ผ่านการตรวจสอบแล้ว
• ประเมินความสามารถใหม่ ๆ ของ Agent ในสภาพแวดล้อมแบบ Sandbox ก่อนนำไปใช้งานในวงกว้าง
• ตรวจสอบทั้งผู้เผยแพร่ (Publisher) และตัวโปรเจกต์เพื่อยืนยันความน่าเชื่อถือ
• เฝ้าติดตามเส้นทางการทำงานของ Agent (Agentic Pathways)

Island ระบุว่า "FakeGit ไม่จำเป็นต้องเจาะระบบใด ๆ เลย เพียงแค่เผยแพร่ Repository ที่ดูน่าเชื่อถือ ปลอมตัวตนของนักพัฒนาตัวจริง กระจายรายการของตนไปตาม Public Registries ต่าง ๆ แล้วปล่อยให้กระบวนการค้นหาทำหน้าที่ที่เหลือเอง"

Island เสริมว่า "ด้วยเทคนิค AgentBaiting กระบวนการค้นพบดังกล่าวไม่จำเป็นต้องอาศัยมนุษย์อีกต่อไป เพราะ Agent ที่กำลังค้นหา Skill หรือ MCP Server สามารถค้นพบกับดักนี้ อ่านไฟล์ README ของผู้โจมตี และนำคำสั่งนั้นไปดำเนินการต่อได้ด้วยตัวเอง แนวป้องกันที่สำคัญจึงเป็นแนวป้องกันที่สามารถขัดขวางการโจมตีนี้ได้ก่อนที่จะมีการรันโค้ดที่เป็นอันตราย"

ที่มา : Thehackernews