FakeGit 行动滥用 7600 个 GitHub 仓库传播 SmartLoader，下载量超 1400 万次

据 BleepingComputer 2026 年 7 月 22 日报道，一起被称为 FakeGit 的大规模恶意软件传播行动正在滥用 GitHub 生态。来源显示，攻击者通过约 7600 个恶意 GitHub 仓库 推送 SmartLoader 与 StealC 恶意软件，这些仓库累计下载量已超过 1400 万次。由于 GitHub 常被开发者、研究人员和普通用户视为可信代码来源，此类活动的危险之处不只在于传播规模，更在于它利用了用户对开源平台和下载链接的默认信任。

从公开摘要看，FakeGit 并非单个孤立仓库投放恶意文件，而是以大量仓库形成分发网络。SmartLoader 通常可被理解为用于进一步投放载荷的加载器，而 StealC 则与信息窃取风险相关。对于经常下载工具、脚本、破解资源、自动化项目或安全测试代码的用户而言，这类攻击会显著提高误下载、误运行恶意程序的概率。

为什么 GitHub 仓库会成为恶意软件分发入口

GitHub 的开放性让任何人都能创建项目、上传代码和发布文件，这本是开源协作的基础。但同样的机制也可能被攻击者利用：他们可以批量创建看似正常的项目页面，通过项目名、说明文字或下载入口吸引用户点击。一旦用户只凭仓库页面外观、下载次数或搜索排名判断可信度，就可能落入陷阱。

这起事件中，7600 个恶意仓库与超过 1400 万次下载的规模，说明攻击者可能并不是只针对少数高价值目标，而是在更广范围内撒网。对 VPN 用户和注重隐私的用户来说，问题在于：一旦终端设备被植入加载器或窃密程序，网络加密只能保护传输链路，无法阻止本机恶意程序读取文件、浏览器数据或会话信息。

对隐私与 VPN 用户的影响解读

很多用户使用 VPN 是为了隐藏真实 IP、降低公共 Wi-Fi 风险，或减少网络跟踪。但 FakeGit 类攻击提醒我们，VPN 不是恶意软件防护的替代品。如果用户从不可信仓库下载并运行文件，即便连接了 VPN，恶意程序仍可能在本地执行，进而尝试收集系统信息、浏览器数据或其他敏感内容。

这也意味着，隐私保护需要从“网络层”扩展到“软件来源与执行环境”。例如，在公共网络中使用可信 VPN 可以降低流量被窥探的风险，RedGate VPN 可作为加密连接的一个可选方案；但在下载开源项目或工具时，仍必须结合文件校验、权限控制、沙箱测试和安全软件扫描。

下载 GitHub 项目时应重点检查什么

• 核对项目可信度：查看维护者历史、提交记录、议题互动和项目是否长期存在，不要只看项目名或下载入口。
• 谨慎运行二进制文件：对陌生仓库中的 exe、脚本、压缩包和安装器保持警惕，尤其是需要管理员权限的文件。
• 避免被下载量误导：来源显示相关仓库下载量巨大，但下载量本身并不等同于安全认证。
• 隔离测试环境：对不确定的工具先在虚拟机、沙箱或非主力设备中运行，避免直接接触个人账户和敏感资料。
• 保持系统与安全工具更新：加载器类恶意软件可能用于后续投放更多威胁，及时更新可减少已知风险暴露。

企业与开发者需要提高供应链警惕

对于企业团队和开发者来说，FakeGit 的意义更接近软件供应链风险预警。大量恶意仓库混入开源平台后，开发流程中的依赖下载、测试工具获取、临时脚本复用都可能成为入口。如果团队缺少代码来源审查和制品准入机制，单个成员的一次下载就可能影响更大的内部环境。

建议团队建立最小化下载原则：优先使用官方来源、固定依赖版本、检查哈希或签名，并对外部代码进行审查。对于个人用户，则应把“从 GitHub 下载”视为需要判断来源的行为，而不是天然安全的行为。FakeGit 事件表明，攻击者正在利用可信平台的外衣扩大传播面，隐私保护不能只关注连接是否加密，更要关注设备上运行了什么。