Uma campanha de distribuição de malware em larga escala foi descoberta, envolvendo 109 repositórios falsos do GitHub utilizados para enganar usuários e forçá-los a baixar duas ferramentas maliciosas perigosas: SmartLoader e StealC. A operação foi construída cuidadosamente em torno de versões clonadas de projetos de código aberto legítimos, tornando difícil para usuários comuns distinguirem entre o que é real e o que é falso.
Descoberta e escopo da campanha
Analistas da Hexastrike identificaram os 109 repositórios maliciosos espalhados por 103 contas separadas do GitHub. A campanha mostra sinais de estar ativa há pelo menos sete semanas antes da revisão, com novos repositórios aparecendo até 12 de abril de 2026. Os pesquisadores notaram que os repositórios foram atualizados em lotes quando os links de download rotacionaram para novos arquivos ZIP, um padrão que aponta para controle centralizado e pelo menos automação parcial por um único ator de ameaça ou cluster controlado.
O impacto dessa campanha vai além dos usuários individuais. Como o GitHub é amplamente confiável como plataforma por desenvolvedores, estudantes e profissionais de segurança, repositórios falsos sentados ao lado dos reais nos resultados de pesquisa carregam credibilidade natural. O ator da ameaça até adicionou termos de SEO não relacionados às descrições dos repositórios para aumentar a visibilidade e atrair mais vítimas.
Como o SmartLoader funciona após o download
Uma vez que uma vítima baixa e extrai o arquivo ZIP, um script de lote de uma única linha inicia um interpretador LuaJIT, que executa um script Lua fortemente ofuscado conhecido como SmartLoader. Do ponto de vista da vítima, nada visível acontece na tela porque o malware usa chamadas da API do Windows para ocultar sua janela de console imediatamente após a execução.
O SmartLoader realiza então uma verificação anti-depuração usando shellcode nativo copiado para memória executável, uma técnica projetada para impedir que pesquisadores de segurança analisem seu comportamento. Para localizar seu servidor de comando e controle ativo sem codificar um endereço, o SmartLoader consulta um contrato inteligente da blockchain Polygon usando uma chamada JSON-RPC para polygon.drpc.org, recuperando o IP do servidor ativo de um valor on-chain.
Este método, conhecido como resolvedor de ponto morto da blockchain, permite que o operador troque a infraestrutura atualizando uma única entrada on-chain, em vez de reconstruir o malware ou alterar cada amostra estagiada. Após resolver o servidor ativo, o SmartLoader envia uma solicitação POST multipart contendo detalhes de identificação do host e capturas de tela para um servidor de comando e controle com IP nu.
Mecanismos de persistência e exfiltração
O servidor responde com instruções e tarefas criptografadas. A persistência é então estabelecida por meio de duas tarefas agendadas diárias, com nomes como "AudioManager_ODM3" e "OfficeClickToRunTask_7d7757" para se misturar à atividade legítima do sistema. Uma tarefa executa uma cópia localmente em cache do estágio Lua, enquanto a outra baixa um estágio criptografado fresco diretamente de um repositório do GitHub controlado pelo atacante.
Essa persistência de caminho duplo garante que o malware sobreviva mesmo se uma rota de recuperação for bloqueada ou limpa. O mesmo repositório de estagiamento também hospedava um payload criptografado StealC que o SmartLoader era capaz de decifrar e carregar diretamente na memória sem escrevê-lo no disco. Dados coletados de máquinas infectadas eram enviados silenciosamente para servidores de comando e controle, e o malware também carregava um sequestrador de informações de acompanhamento chamado StealC, projetado para colher dados sensíveis de sistemas comprometidos.
Implicações para equipes de segurança
Equipes de segurança e usuários individuais devem tomar as seguintes medidas protetoras com base nas descobertas desta campanha. Sempre verifique a fonte original de um projeto do GitHub antes de baixar qualquer arquivo ou instalador, preferindo releases oficiais sobre arquivos ZIP enterrados dentro das pastas do repositório. Monitore conexões de saída para pontos finais RPC de blockchain como polygon.drpc.org, especialmente de processos não do navegador, pois isso é um forte indicador precoce de comportamento de resolvedor de ponto morto.
Observe executáveis não assinados iniciados por lote que referenciam arquivos de script com extensões .txt ou .log executando de caminhos graváveis pelo usuário como Downloads ou %TEMP%. Marque solicitações POST multipart direcionadas a endereços IP nus, particularmente aquelas com caminhos URI começando com /api/ ou /task/, pois isso se alinha diretamente com o padrão de exfiltração do SmartLoader.
Implemente controles de aplicativo que bloqueiem interpretadores não assinados e iniciadores de script executando fora dos diretórios de instalação padrão. Alertar sobre a criação de tarefas agendadas onde a ação aponta para um executável armazenado sob %LOCALAPPDATA%, especialmente quando os argumentos da linha de comando incluem raw.githubusercontent.com.
O que os CISOs devem fazer imediatamente
A segurança da cadeia de suprimentos de desenvolvimento é agora um vetor crítico. A confiança inerente no GitHub foi explorada para entregar payloads maliciosos que evadem detecção tradicional. A implementação de controles de aplicação rigorosos e a monitorização de tráfego de rede para endpoints de blockchain não convencionais são essenciais. A persistência via tarefas agendadas com nomes que imitam processos legítimos exige uma revisão profunda dos logs de eventos do Windows e da configuração de tarefas agendadas em ambientes corporativos.