AgentBaiting sfrutta agenti AI per consegnare malware da repository GitHub fake

🛡️ Executive Summary

• Oltre 800 repository GitHub falsi imitano AI Skills e server MCP per essere scoperti e raccomandati autonomamente dagli agenti AI.
• I pacchetti distribuiscono SmartLoader, che mantiene la persistenza, recupera stage cifrati e installa l’infostealer StealC sui sistemi Windows.
• Le organizzazioni devono verificare identità, cronologia e release dei repository, limitando l’esecuzione di launcher e integrazioni suggerite dagli agenti.

AgentBaiting introduce un nuovo modello di distribuzione malware nel quale l’attaccante non deve convincere direttamente la vittima attraverso phishing o pubblicità malevole. Repository GitHub falsi vengono progettati per apparire come AI Skills, server MCP e integrazioni enterprise, così da essere individuati durante le ricerche condotte da agenti come Claude Code, Gemini e ChatGPT. L’operazione FakeGit avrebbe coinvolto circa 7.600 repository creati da 6.600 profili, con oltre 800 progetti specificamente dedicati agli strumenti AI. Gli agenti possono raccomandare questi repository e ripeterne le istruzioni, accompagnando l’utente fino all’esecuzione di SmartLoader e dell’infostealer StealC.

AgentBaiting sposta il social engineering dagli utenti agli agenti

La tecnica sfrutta la crescente fiducia attribuita agli assistenti AI nella ricerca di strumenti, librerie e connettori. Quando uno sviluppatore chiede un’integrazione gratuita per Gmail, Docker, Jenkins, Databricks o WhatsApp, l’agente consulta fonti pubbliche, valuta descrizioni e documentazione e propone i risultati ritenuti pertinenti. I repository AgentBaiting sono costruiti proprio per soddisfare questi criteri: usano nomi plausibili, README dettagliati, istruzioni ordinate, screenshot e riferimenti a piattaforme conosciute. L’agente non viene necessariamente compromesso né esegue direttamente il codice, ma diventa un intermediario autorevole che amplifica la credibilità del progetto. In alcuni casi ripete quasi letteralmente le istruzioni malevole, invitando l’utente a scaricare un archivio ZIP e avviare il presunto wizard di installazione. Il meccanismo sviluppa il rischio già emerso con l’AgentJacking contro gli AI coding agent, dove input non fidati influenzano strumenti dotati di accesso a repository, terminali e credenziali. AgentBaiting interviene ancora prima: manipola il processo attraverso il quale l’agente seleziona quale software suggerire.

FakeGit usa migliaia di repository e identità contraffatte

L’operazione FakeGit comprende circa 7.600 repository attribuiti a 6.600 account, con un’ondata AI iniziata a marzo 2026 e arrivata a quasi 300 nuovi progetti nel solo mese di aprile. Più di 800 repository si presentavano come AI Skills o server MCP e alcuni imitavano progetti legittimi modificando una sola lettera nel nome dell’autore o dell’organizzazione. Un progetto avrebbe copiato struttura e identità visiva di un repository reale con oltre 67.000 stelle, raccogliendo interazioni sufficienti a sembrare affidabile durante una valutazione superficiale. La tecnica ricorda la campagna dei 292 repository GitHub falsi usati per diffondere BoryptGrab, ma aumenta scala e specializzazione, adattando le esche al mercato degli agenti AI.

I README venivano inoltre replicati nei cataloghi pubblici di skill e server MCP, tra cui LobeHub, Glama, MCP.so e MCP Market. Questa propagazione moltiplica la presenza dei link malevoli e permette allo stesso repository di apparire in più fonti considerate indipendenti. I ricercatori hanno contato oltre 14 milioni di download dagli asset delle release in circa 200 repository, cifra che non include gli archivi ZIP inseriti direttamente nei progetti.

SmartLoader usa LuaJIT, Polygon e GitHub per consegnare StealC

Il pacchetto proposto all’utente contiene generalmente tre componenti: un launcher .cmd o .bat, un runtime LuaJIT rinominato, spesso luau.exe, e un payload Lua offuscato nascosto in file apparentemente innocui come ico64.txt, una licenza o un’icona. Il comando di avvio può ridursi a start luau.exe ico64.txt, presentato come normale procedura di installazione.

Dopo l’esecuzione, SmartLoader copia i propri file in %LOCALAPPDATA%, crea task pianificati per la persistenza e nasconde la finestra della console. Per individuare l’infrastruttura di comando usa uno smart contract sulla rete Polygon, soluzione che consente agli operatori di aggiornare gli indirizzi remoti senza modificare il loader distribuito. Gli stage successivi vengono scaricati da GitHub in forma cifrata e passano attraverso un PE crypter che inietta StealC in un processo separato. L’abuso combinato di hosting fidato, blockchain e interpreti legittimi rende la catena simile agli attacchi supply-chain in cui workflow GitHub e pacchetti npm compromessi distribuiscono malware da infrastrutture considerate affidabili. La vittima vede un repository, un archivio e un runtime apparentemente coerenti con un tool per sviluppatori, mentre ogni componente prepara in realtà lo stage successivo.

StealC sottrae sessioni, credenziali e asset crypto

Il payload finale StealC raccoglie password e cookie dei browser, sessioni attive, dati delle estensioni, credenziali email, configurazioni di accesso remoto, screenshot e informazioni sull’host. La disponibilità di cookie e token di sessione può consentire l’accesso agli account anche quando l’autenticazione multifattore protegge la password, mentre le estensioni crypto espongono wallet, indirizzi e dati utili a successivi furti. Il 62% dei repository AI e MCP individuati veniva pubblicizzato per impieghi enterprise o interni ai team, aumentando il valore delle informazioni potenzialmente raggiungibili. Circa un terzo prometteva accesso a dati operativi, un quarto a repository di codice e un sesto a credenziali o segreti.

Quasi due terzi dei server MCP falsi dichiaravano di collegarsi a cloud, database o API aziendali. La focalizzazione non è casuale: un falso connettore per Jenkins, Docker o Databricks può convincere un dipendente con accesso a pipeline, container, dataset e token di produzione. Il rischio si collega alla crescente esposizione generata dal vibe coding e dai pacchetti infetti inseriti nelle supply chain software, dove velocità e automazione riducono il tempo dedicato alla verifica della provenienza del codice.

La reputazione del repository non può essere delegata all’AI

La mitigazione richiede controlli tecnici e procedurali che precedano qualsiasi installazione suggerita da un agente. Gli sviluppatori devono verificare organizzazione proprietaria, età dell’account, cronologia dei commit, firme delle release, maintainer e collegamenti dal sito ufficiale, evitando di considerare stelle, README o presenza nei registri MCP come prove sufficienti. Archivi che includono launcher batch, runtime Lua rinominati e payload offuscati in file di testo devono essere bloccati o sottoposti ad analisi isolata. Sul piano endpoint, il threat hunting può cercare processi luau.exe, task pianificati creati in %LOCALAPPDATA%, esecuzioni cmd provenienti da directory temporanee e connessioni verso smart contract Polygon seguite da download GitHub. Le aziende dovrebbero inoltre adottare cataloghi interni approvati per AI Skills e server MCP, impedendo agli agenti di installare autonomamente strumenti trovati sul web. Il problema non riguarda soltanto GitHub: quando un agente traduce la documentazione di un progetto in un’istruzione operativa, la qualità della ricerca diventa parte della catena di sicurezza. AgentBaiting dimostra che la raccomandazione automatica può trasformarsi in un nuovo vettore di delivery, capace di aggirare il phishing tradizionale sfruttando la fiducia riposta nell’assistente anziché nel mittente.