أعادت حملة FakeGit نشاطها عبر 17,610 مستودعات مزيفة على GitHub، مستخدمة ملفات README وأزرار تنزيل مقنعة لتوزيع SmartLoader ثم برمجيات خبيثة أخرى. ويقول الباحثون إن الاعتماد على حذف مستودعات أو روابط محددة لا يكفي لاحتواء الحملة بسبب النسخ الاحتياطية وتعدد أماكن الاستضافة.
عادت حملة FakeGit الخبيثة إلى GitHub على نطاق واسع، إذ رصد باحثون 17,610 مستودعات تُستخدم لتوزيع SmartLoader، وهو حمولة أولية قادرة على تنزيل برمجيات خبيثة أخرى. وجاءت عودة النشاط في 4 أكتوبر 2026، بعد أن كانت الحملة قد استُخدمت في وقت سابق من الشهر لدفع StealC، وهي برمجية لسرقة المعلومات.
تعتمد الحملة على حسابات مؤقتة في الغالب، لكن الباحثين حددوا ما لا يقل عن 700 حساب يبدو أنه يعود إلى مطورين شرعيين. وتستخدم المستودعات الخبيثة ملفات README مصممة بصورة مقنعة، تتضمن زر تنزيل يقود إلى أرشيف ZIP يحتوي على SmartLoader.
تصعيد سريع باستخدام مستودعات قائمة
بحسب تقرير منصة Apiiro المتخصصة في أمن سلسلة توريد البرمجيات، دفعت الحملة أكثر من 13,000 مستودع خلال 34 ساعة، وبلغ معدل النشاط ذروته عند 2,999 مستودعاً في الساعة. وفي عينات الالتزامات التي فحصها الباحثون، اقتصر 97% منها على تعديل ملف README، بينما وجّه زر التنزيل في 88% منها إلى ملف ZIP يثبت SmartLoader.
يشير ذلك إلى أن المشغلين لم يكونوا بحاجة إلى إنشاء مستودعات جديدة؛ بل أعادوا توجيه أسطول موجود مسبقاً نحو روابط خبيثة. وكانت شركة Island قد ربطت اسم FakeGit بهذه العملية في يوليو، عندما وثقت 7,600 مستودع مزيف يدفع SmartLoader، بينها 800 مستودع يتنكر في صورة مهارات للذكاء الاصطناعي أو خوادم MCP ظهرت في سجلات وكتالوجات عامة.
لماذا يصعب احتواء الحملة؟
يرى باحثو Apiiro أن إزالة المستودعات لا تغطي سوى جزء من البنية الخبيثة. كما تبقى الحمولات المحظورة ونسخها الاحتياطية متاحة، ما يسمح للمهاجمين بتغيير رابط التنزيل مع إبقاء المستودع نفسه نشطاً. ووجد الباحثون أن 71% من الأسطول لم يكن مدرجاً في URLhaus قبل نشر تقريرهم.
وتتوزع الأرشيفات الخبيثة بين النسخ المتفرعة، والملفات القديمة، وأصول الإصدارات، ومرفقات المشكلات، ومستودعات منفصلة مخصصة للاستضافة. لذلك فإن حذف ملف أو رابط واحد لا يمنع المشغل من توجيه الضحية إلى نسخة بديلة.
ما الذي يتغير عملياً للمستخدمين؟
لا يكفي التعامل مع وجود مستودع على GitHub بوصفه دليلاً على موثوقيته، خصوصاً عند تنزيل مهارات الذكاء الاصطناعي أو خوادم MCP. يوصي الباحثون بالتحقق من مالك المستودع، واعتماد السجلات الرسمية أو مستودعات موردي البرمجيات كمصادر للتثبيت.
إذا اشتبه المستخدم في تشغيل SmartLoader، فينبغي التعامل مع الحالة باعتبارها احتمالاً لاختراق حساب GitHub، ثم إلغاء الجلسات النشطة ورموز الوصول والانتقال إلى مفاتيح المرور. وتوضح الحملة أن الاعتماد على قوائم حظر الروابط أو حذف المستودعات الفردية يظل محدوداً عندما يستطيع المهاجم إعادة استخدام النسخ والفروع وأصول الإصدارات.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.