Uma campanha de distribuição de malware em larga escala, batizada de FakeGit, recorreu a mais de 7.600 repositórios fraudulentos no GitHub para propagar o malware SmartLoader — e, através dele, o infostealer StealC. O mais preocupante desta operação não é a sua dimensão, já impressionante com mais de 14 milhões de transferências registadas: é o facto de os investigadores terem demonstrado que assistentes de inteligência artificial como o Claude Code, o Gemini e o ChatGPT foram induzidos a recomendar esses repositórios maliciosos de forma autónoma, sem qualquer intervenção humana direta. A investigação é da empresa de segurança Island e foi publicada em julho de 2026.
Em resumo: a campanha FakeGit, documentada pela Island, usou mais de 7.600 repositórios falsos no GitHub — com mais de 14 milhões de transferências — para distribuir o loader SmartLoader e, através dele, o infostealer StealC. Cerca de 800 repositórios faziam-se passar por “AI Skills” ou servidores MCP. A novidade preocupante é a técnica batizada de AgentBaiting: em testes, os assistentes Claude Code, Gemini e ChatGPT recomendaram estes repositórios maliciosos de forma autónoma, sem lhes ser dado qualquer link. O malware é entregue por uma cadeia LuaJIT e obtém o servidor de controlo através de um contrato inteligente na blockchain Polygon. A lição: código e ferramentas de IA descobertos automaticamente também precisam de ser verificados por um humano.
Uma operação de escala industrial
A vaga mais recente desta campanha compreende cerca de 7.600 repositórios maliciosos no GitHub criados por aproximadamente 6.600 contas, sendo que cerca de 1.400 estão associados a ferramentas, agentes ou fluxos de trabalho de IA, e mais de 800 disfarçam-se explicitamente de AI Skills ou servidores MCP (Model Context Protocol). Estes repositórios de capacidades de IA apareceram mais de 600 vezes em registos e catálogos públicos de IA, ao passo que a operação FakeGit mais alargada registou mais de 14 milhões de transferências.
A campanha é considerada uma continuação de uma operação mais antiga que utilizou o malware Lumma Stealer e foi atribuída a um agente de ameaças rastreado como “Water Kurita” pelos investigadores da empresa de cibersegurança Trend Micro. Este ator distingue-se pela utilização de IA generativa para automatizar a criação de conteúdos convincentes nos repositórios, incluindo ficheiros README e amostras de código, explorando a confiança inerente a plataformas como o GitHub.
De acordo com os investigadores da plataforma de browser empresarial Island, o foco em conteúdos relacionados com IA foi introduzido em março e atingiu o pico em abril, com a criação de cerca de 300 repositórios no GitHub associados a ferramentas de IA. Estes repositórios com branding de IA abrangem casos de uso tanto individuais como empresariais — desde automação do Gmail e WhatsApp até conectores para Databricks, Jenkins e Docker —, espelhando fluxos de trabalho legítimos aumentados por IA dentro de organizações modernas.
Como funciona a cadeia de ataque
O objetivo final da cadeia é o StealC, um infostealer que rouba credenciais, sessões ativas e outros dados sensíveis — o mesmo tipo de ameaça que abordámos ao explicar como as palavras-passe guardadas no Chrome e no Edge estão sob ataque. E, tal como no ataque à cadeia de fornecimento que comprometeu plugins WordPress, o vetor é a confiança: aqui, a confiança que damos a um repositório popular no GitHub.
Segundo Oleg Zaytsev, investigador-chefe de segurança da Island, “a FakeGit usa projetos copiados, perfis de programadores semelhantes aos reais, READMEs convincentes e ficheiros ZIP maliciosos para distribuir o malware SmartLoader. Uma vez executado, o SmartLoader estabelece persistência e instala o StealC, um infostealer que tem como alvo credenciais, sessões ativas e outros dados sensíveis.”
Os ficheiros README induzem os utilizadores a descarregar arquivos ZIP que entregam payloads em Lua. O SmartLoader exibe técnicas avançadas de evasão, incluindo verificações do ambiente para detetar software de segurança, e manipula portas de depuração do browser para facilitar o roubo de credenciais. O payload final é executado através de scripts encriptados, permitindo a exfiltração de credenciais, carteiras de criptomoedas, tokens de autenticação de dois fatores e informação pessoal identificável para infraestrutura de comando e controlo remota.
A Island encontrou em registos e catálogos públicos mais de 600 listagens de Skills e servidores MCP ligadas à campanha FakeGit. Algumas delas incluíam plataformas como a LobeHub, a Glama, a MCP.so e o MCP Market, indicando que a operação já penetrou neste ecossistema e contaminou recursos públicos.
AgentBaiting: quando a IA se torna vetor de distribuição
O aspeto mais inovador — e inquietante — desta campanha é aquilo que os investigadores da Island designam de AgentBaiting. Trata-se de uma evolução com recurso a IA: ocorre quando um agente de IA que procura uma skill ou um servidor MCP acaba por descobrir inadvertidamente um destes repositórios fraudulentos, levando-o a executar as instruções do atacante de forma autónoma, sem qualquer intervenção de um utilizador humano.
A Island afirma que os seus testes revelaram que o Claude Code da Anthropic, o Gemini da Google e o ChatGPT da OpenAI são suscetíveis a este engano, permitindo que os modelos apresentem repositórios maliciosos da campanha sem sequer lhes ter sido mostrada uma ligação. Um agente que procure uma nova Skill ou servidor MCP encontra por si mesmo um repositório da campanha, trata o README do atacante como documentação legítima e transmite as instruções de instalação ao utilizador. Por exemplo, quando solicitado a fornecer uma ligação para um servidor MCP gratuito da Walmart, o Gemini apresentou o repositório malicioso DomingosNgongo/walmart-mcp como um servidor gratuito e open-source.
Em testes controlados e limitados, o Claude Code chegou a clonar repositórios maliciosos e a transferir os ficheiros maliciosos para a máquina de teste, embora o agente tenha posteriormente detetado indicadores suspeitos e interrompido a execução antes que esta ocorresse. Por outras palavras, uma técnica concebida originalmente com o intuito de manipular psicologicamente seres humanos tem agora a capacidade de enganar igualmente um agente de IA que atua em seu nome.
Como se proteger: recomendações práticas
Face a esta ameaça, os investigadores da Island identificam um conjunto de medidas que developers, profissionais de segurança e organizações devem adotar:
- Construir um catálogo interno de Skills e servidores MCP revistos, evitando a descoberta ad hoc por parte de agentes de IA em registos públicos não verificados.
- Avaliar novas capacidades de agentes em ambiente isolado (sandbox) antes de qualquer implementação mais alargada na organização.
- Verificar o editor e o projeto para assegurar a credibilidade, e monitorizar os caminhos de execução dos agentes (agentic pathways).
- Não confiar automaticamente em repositórios com elevados contadores de transferências, uma vez que a FakeGit inflaciona artificialmente esses sinais de popularidade.
- Utilizar soluções de proteção de endpoint capazes de detetar scripts ofuscados e cadeias de execução em batch.
A Microsoft, por seu lado, aconselha a tratar cada servidor MCP como parte da cadeia de abastecimento de software, a tratar as descrições de ferramentas como prompts de sistema, e a aplicar o princípio da menor agência.
Contexto e relevância para o panorama europeu e português
A campanha FakeGit insere-se num padrão mais amplo de ataques à cadeia de abastecimento de software (software supply chain attacks), um vetor de ataque que tem vindo a ganhar destaque crescente nas análises de risco da ENISA e do Centro Nacional de Cibersegurança (CNCS/CERT.PT). A exploração de plataformas de código aberto de confiança — como o GitHub — para distribuir malware é precisamente o tipo de ameaça identificada no âmbito da NIS2 e transposta para o ordenamento jurídico português através do Decreto-Lei n.º 125/2025, que introduz obrigações reforçadas de gestão de risco da cadeia de abastecimento para operadores de serviços essenciais e entidades importantes.
O StealC, payload final desta cadeia de ataque, é um infostealer com capacidade de roubar credenciais, sessões autenticadas e dados pessoais — o que configura potenciais violações de dados com obrigação de notificação à Comissão Nacional de Proteção de Dados (CNPD) no prazo de 72 horas, nos termos do artigo 33.º do RGPD. Para as PME portuguesas que integram ferramentas de IA nos seus fluxos de trabalho — adotando, por exemplo, servidores MCP para automatizar integrações com Gmail, plataformas de gestão ou serviços na nuvem —, a campanha FakeGit constitui uma ameaça concreta e imediata.
O facto de a descoberta dos repositórios poder ser iniciada autonomamente por assistentes de IA reforça ainda a necessidade de as organizações revisitarem as suas políticas de governação de ferramentas de IA, garantindo que os agentes autónomos não operam sem supervisão humana adequada na seleção e instalação de novas capacidades.
Perguntas frequentes
O que é a campanha FakeGit?
É uma operação de distribuição de malware, documentada pela empresa de segurança Island, que criou mais de 7.600 repositórios falsos no GitHub para propagar o loader SmartLoader e o infostealer StealC. Os repositórios imitam projetos legítimos, com descrições e documentação convincentes, e acumularam mais de 14 milhões de transferências.
O que é o AgentBaiting?
É a técnica mais inovadora e preocupante desta campanha: em vez de enganar apenas pessoas, os repositórios são otimizados para serem descobertos e recomendados por assistentes de IA. Nos testes da Island, o Claude Code, o Gemini e o ChatGPT chegaram a sugerir estes repositórios maliciosos de forma autónoma, sem que lhes fosse fornecido qualquer link, ao procurarem “AI Skills” ou servidores MCP.
Que malware é distribuído?
A cadeia de infeção entrega o SmartLoader, que estabelece persistência e obtém o endereço do servidor de controlo através de um contrato inteligente na blockchain Polygon. O SmartLoader instala depois o StealC, um infostealer que rouba credenciais, cookies de sessão e outros dados sensíveis do sistema da vítima.
Como me protejo desta ameaça?
Nunca execute código ou instaladores de repositórios sem verificar a sua legitimidade — confirme o autor, o histórico e a reputação real do projeto. Desconfie de repositórios muito recentes com popularidade inflacionada. E, sobretudo, não confie cegamente em instruções de instalação sugeridas por um assistente de IA: valide sempre a origem antes de executar qualquer comando.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Island (island.io), BleepingComputer, Help Net Security e Trend Micro.