FakeGit avvelena GitHub mentre un falso Newtonsoft.Json manipola giochi online

🛡️ Executive Summary

• FakeGit utilizza 7.600 repository GitHub malevoli, documentazione credibile e falsi tool AI per distribuire SmartLoader e StealC.
• Newtonsoftt.Json.Net mantiene le funzioni della libreria originale, ma altera silenziosamente i risultati di un gioco gestito dalla piattaforma Digitain.
• Le organizzazioni devono verificare publisher e dipendenze, bloccare pacchetti non approvati e ruotare i segreti sui sistemi esposti a SmartLoader.

Due campagne mostrano come gli attacchi alla supply chain software possano combinare distribuzione di massa e compromissioni estremamente selettive. FakeGit ha utilizzato circa 7.600 repository GitHub per promuovere falsi strumenti, AI Skills e server MCP che consegnavano SmartLoader e l’infostealer StealC. Su NuGet, invece, il pacchetto Newtonsoftt.Json.Net imitava la popolare libreria Newtonsoft.Json e continuava a funzionare normalmente, attivando il codice malevolo soltanto sui server di una specifica piattaforma di gioco. In entrambi i casi, l’attaccante sfrutta la fiducia attribuita a repository pubblici, documentazione professionale e dipendenze apparentemente legittime.

FakeGit costruisce migliaia di repository credibili

L’operazione FakeGit comprende circa 7.600 repository GitHub malevoli collegati a migliaia di profili, creati per imitare software consumer, strumenti enterprise e progetti destinati agli sviluppatori. Le pagine utilizzavano descrizioni copiate, nomi simili a quelli di maintainer reali, stelle e fork artefatti e README sufficientemente dettagliati da superare una verifica superficiale. Molti repository promettevano integrazioni con Gmail, WhatsApp, Databricks, Jenkins e Docker, indirizzando l’utente verso archivi ZIP presentati come installer o release del progetto. Più di 800 repository si spacciavano specificamente per AI Skills o server Model Context Protocol, mentre l’intera componente dedicata all’intelligenza artificiale avrebbe superato 1.400 progetti.

La campagna amplia la tecnica già osservata nei falsi strumenti MCP usati per distribuire SmartLoader, adattando esche, documentazione e linguaggio alla crescente domanda di componenti per agenti AI. GitHub diventa così non soltanto il luogo dal quale scaricare il payload, ma la superficie sulla quale viene costruita la reputazione del falso prodotto.

Gli agenti AI amplificano la scoperta dei progetti malevoli

La componente più innovativa di FakeGit riguarda l’AgentBaiting, una tecnica pensata per rendere i repository facilmente individuabili dagli agenti AI incaricati di cercare strumenti o nuove capacità. Oltre 600 inserzioni riconducibili alla campagna sono comparse in cataloghi pubblici di skill e server MCP come LobeHub, Glama, MCP.so e MCP Market. Durante test controllati, ChatGPT, Gemini e Claude hanno mostrato alcuni dei repository malevoli e, in certi casi, ne hanno ripetuto le istruzioni di installazione.

Claude Code è arrivato a clonare un progetto e scaricare i file, interrompendo però la procedura prima dell’esecuzione dopo avere riconosciuto indicatori sospetti. Il risultato non dimostra che gli agenti installino sistematicamente malware, ma evidenzia un passaggio critico: la raccomandazione automatica può conferire credibilità a un repository che l’utente non conosce. Il README non viene più letto soltanto da una persona, ma diventa una sorgente istruttiva per sistemi capaci di clonare codice, avviare terminali e modificare ambienti di sviluppo.

SmartLoader usa Lua, GitHub e Polygon per arrivare a StealC

Gli archivi distribuiti da FakeGit contengono generalmente un launcher batch, un runtime LuaJIT rinominato e un payload Lua offuscato nascosto in file di testo, icone o licenze. Dopo l’esecuzione, SmartLoader crea task pianificati per mantenere la persistenza, utilizza uno smart contract sulla rete Polygon per ricavare l’indirizzo del server di comando e scarica da GitHub ulteriori stage cifrati. La catena termina con la distribuzione di StealC, malware specializzato nel furto di password, cookie, sessioni browser, dati delle estensioni, wallet e informazioni dell’host. I contatori pubblici di GitHub hanno registrato oltre 14 milioni di download per 335 asset appartenenti a 211 repository della campagna, ma il valore comprende richieste automatizzate e download ripetuti e non può essere interpretato come numero di infezioni. La presenza di StealC collega FakeGit a un ecosistema criminale già colpito durante l’Operazione Endgame contro infostealer e loader, senza però eliminarne la capacità di riapparire attraverso nuove esche e canali di distribuzione.

Il falso Newtonsoft.Json colpisce un solo backend

La seconda campagna utilizza un approccio opposto. Il pacchetto Newtonsoftt.Json.Net, pubblicato su NuGet con una doppia “t” nel nome, si presenta come una variante della libreria Newtonsoft.Json e mantiene le sue normali funzioni di serializzazione. Sette versioni, dalla 11.0.4 alla 11.0.11, sono state pubblicate tra agosto e ottobre 2025 e hanno totalizzato circa 1.200 download. Il codice malevolo non sottrae credenziali e non tenta di compromettere indiscriminatamente tutti gli sviluppatori che installano il pacchetto.

Si attiva soltanto quando l’applicazione assegna la proprietà JsonConvert.DefaultSettings e quando trova uno specifico metodo presente nel backend FG-Crash di Digitain. Il comportamento selettivo permette alla libreria di apparire completamente legittima negli ambienti non bersaglio, rendendo più difficile riconoscere l’attacco attraverso test funzionali ordinari. Il caso sviluppa il rischio dei pacchetti NuGet malevoli inseriti nei flussi di sviluppo .NET, ma sostituisce il classico furto di segreti con la manipolazione dell’integrità applicativa.

Il payload manipola i risultati del gioco e li esfiltra

Il codice trojanizzato è progettato per alterare i risultati del gioco online gestito da Digitain e, nelle versioni successive, trasmettere i valori manipolati a un server controllato dall’attaccante. L’esfiltrazione viene mascherata come telemetria e utilizza l’header X-Seq-ApiKey, mentre il punto remoto è codificato direttamente nel pacchetto.

Le tre generazioni individuate mostrano un’evoluzione progressiva: la prima implementava soltanto la manipolazione locale; la seconda aggiungeva esfiltrazione, reflection e offuscamento ConfuserEx; la terza stabilizzava il flusso e ripuliva il codice. La versione 11.0.11 è stata pubblicata senza offuscamento, probabilmente a causa di una build errata, permettendo ai ricercatori di ricostruire più facilmente il funzionamento.

Nei metadata di tutte le versioni compare inoltre un indirizzo riferibile a un repository interno Digitain, elemento che suggerisce una precedente conoscenza del codice proprietario o un accesso all’ambiente di sviluppo. La campagna conferma quanto il typosquatting possa colpire una dipendenza affidabile modificando appena il nome.

La difesa deve verificare provenienza e comportamento

I repository GitHub e i package registry non possono essere considerati attendibili soltanto perché pubblici, popolari o tecnicamente ben documentati. Contro FakeGit, le organizzazioni devono mantenere cataloghi approvati di skill, server MCP e strumenti di sviluppo, eseguire i nuovi componenti in ambienti isolati e verificare identità del publisher, cronologia del progetto, firme e collegamenti dai siti ufficiali. La possibile esecuzione di SmartLoader richiede la rotazione immediata di token, password e chiavi presenti sul sistema, insieme alla ricerca di task pianificati, runtime Lua rinominati e connessioni verso infrastrutture inattese. Per NuGet occorre eliminare Newtonsoftt.Json.Net, bloccarne le versioni nei repository aziendali, fissare Newtonsoft.Json a una release verificata attraverso packages.lock.json e controllare i componenti già compilati. La sicurezza della supply chain non dipende soltanto dall’assenza di malware evidente: una libreria può funzionare correttamente per quasi tutti gli utenti e compromettere in modo silenzioso l’unica organizzazione per la quale è stata progettata.