FakeGit 活动回归：超 1.7 万个恶意 GitHub 仓库被用于传播 SmartLoader

据 BleepingComputer 10 月 9 日报道，名为 FakeGit 的恶意活动在本月早些时候重新活跃后，已被发现利用 GitHub 上 17,610 个伪造仓库传播恶意软件。来源显示，这批仓库正在分发 SmartLoader，而该活动此前重新启动时还被用于推送 StealC 信息窃取程序。对开发者、开源项目使用者以及经常从代码托管平台下载工具的用户来说，这一事件再次提醒：看似正常的仓库、脚本或安装包，也可能成为窃取凭据与植入后门的入口。

事件概况：伪造仓库扩大投放面

GitHub 是开发者获取代码、依赖和工具的重要平台，也因此长期被攻击者滥用。此次 FakeGit 活动的关键点在于规模：来源标题明确提到有 17,610 个恶意 GitHub 仓库参与分发。与单个钓鱼页面不同，批量仓库可以覆盖更多搜索结果、项目名称和用户下载场景，攻击者也更容易通过“看起来像开源项目”的外观降低受害者警惕。

来源摘要显示，本轮分发的核心恶意载荷为 SmartLoader。与此同时，FakeGit 活动在本月早些时候重新激活时，曾被用于推送 StealC 信息窃取程序。虽然摘要未披露更细的感染链细节，但从安全风险角度看，加载器类恶意软件通常会被用于后续投放其他恶意组件，而信息窃取程序则可能针对浏览器数据、账号凭据或加密资产相关信息等敏感内容发起攻击。

为什么 GitHub 仓库会成为攻击入口

许多用户在遇到软件报错、工具缺失或项目部署问题时，会直接在搜索引擎或代码托管平台查找“现成脚本”。这类行为本身并不罕见，但也给攻击者创造了机会：他们可以通过相似名称、伪装说明、自动化批量创建仓库等方式，把恶意文件包装成可运行工具或热门项目替代品。

对普通用户而言，风险不只在“下载了一个恶意程序”。一旦设备被植入加载器或窃密工具，后续可能影响浏览器会话、开发者令牌、远程登录凭据、钱包相关信息，甚至工作环境中的内部系统访问权限。对于开发者群体来说，若本地保存了代码仓库访问令牌、云服务密钥或 CI/CD 配置，损失范围还可能从个人设备扩大到团队项目。

• 不要只看仓库名称：相似名称、热门关键词并不能证明项目可信。
• 下载前检查维护记录、提交历史、发布说明与 issue 互动是否自然。
• 避免直接运行来历不明的脚本、安装器或二进制文件。
• 在测试环境或虚拟机中验证陌生工具，避免接触主力账号与敏感目录。
• 若曾运行可疑仓库文件，应尽快更改重要账号密码并检查令牌、密钥和登录记录。

影响与隐私解读：VPN 不是“防毒软件”，但可降低部分暴露面

从隐私保护角度看，FakeGit 这类活动的核心威胁并不是单纯的网络监听，而是诱导用户主动下载并执行恶意内容。因此，VPN 不能替代终端安全软件、代码审查和下载来源验证。如果用户已经运行了恶意程序，VPN 无法阻止本机敏感文件被读取，也不能自动清除恶意载荷。

不过，VPN 在整体安全习惯中仍有辅助价值。对于经常在公共网络、共享办公网络或不可信 Wi-Fi 环境下访问开发平台的用户，加密网络连接有助于降低网络侧窥探与流量劫持风险。RedGate VPN 可作为一种可选的加密连接方案，但用户仍应把重点放在仓库可信度核验、系统更新、最小权限运行和凭据保护上。

这起事件也说明，开源生态的便利性与攻击面是并存的。面对大规模伪造仓库，用户需要从“能下载、能运行”转向“可验证、可追溯、可隔离”的安全思路。尤其是在涉及账号登录、密钥管理、开发环境部署的场景中，任何来源不明的脚本都应被视为潜在高风险对象。