Campagne FakeGit : 7 600 dépôts GitHub malveillants diffusent le malware SmartLoader
Une campagne nommée FakeGit a été identifiée, exploitant près de 7 600 dépôts GitHub malveillants. Plus de 800 de ces dépôts imitent des outils d'IA ou des serveurs MCP pour tromper les développeurs. Le malware distribué, SmartLoader, est déployé via des archives ZIP malicieuses. Les attaquants utilisent des projets copiés, des profils de développeurs usurpés et des fichiers README convaincants pour renforcer la crédibilité des leurres.
Cette campagne souligne l'importance de valider la provenance des dépendances logicielles externes avant intégration. Un audit offensif (RAID/SENTINELLE) permet de détecter des comportements anormaux dans les pipelines CI/CD ou les bibliothèques tierces, limitant ainsi les risques de contamination par des malwares.