大規模惡意軟體攻擊：FakeGit 利用 GitHub 建立 7,600 個惡意儲存庫散布 SmartLoader

攻擊者利用 FakeGit 活動，在 GitHub 上建立數千個偽裝成正常開發專案的儲存庫，將含有 SmartLoader 惡意軟體的壓縮檔隱藏其中。他們特別針對 AI 開發者與使用者，偽裝成 AI Skill 或 MCP 伺服器，利用 AI 代理自動搜尋與解讀文件，引導受害者點擊下載，從而執行惡意程式。這種手法結合了技術偽裝與自動化誘導，極具隱蔽性與破壞力。

一般開發者或 AI 使用者在尋找開源專案或工具時，往往只關注功能描述而忽略檔案來源的真實性。當看到大量以熱門 AI 技術命名的儲存庫時，容易因急於獲取資源而忽略安全檢查，直接下載並執行未經驗證的壓縮檔。這種心理與技術盲點被攻擊者精準利用，導致受害者系統被入侵或資料遭竊。

民眾與開發者應養成習慣，下載任何 GitHub 專案前務必檢查儲存庫的建立時間、作者歷史及程式碼審查記錄。對於來源不明或內容過於誘人的 AI 工具，應先在沙盒環境中測試，切勿直接執行壓縮檔。同時，定期更新防毒軟體並開啟 GitHub 的惡意軟體掃描功能，是抵禦此類大規模攻擊的關鍵防線。