Descoberta e escopo da campanha
Operadores de malware estão utilizando cada vez mais ferramentas construídas para estender a inteligência artificial como uma rota de entrega. Uma campanha recém-documentada chamada AgentBaiting usa habilidades de IA fraudulentas e servidores de Protocolo de Contexto de Modelo (MCP) para distribuir malware SmartLoader através de projetos do GitHub e catálogos de capacidade públicos que parecem confiáveis. A operação transforma uma pesquisa rotineira por uma integração de IA em um risco de malware.
Pesquisadores da Island identificaram a campanha enquanto rastreavam a operação mais ampla FakeGit. A empresa relatou que encontrou cerca de 7.600 repositórios maliciosos criados por aproximadamente 6.600 perfis, incluindo mais de 800 que se passam por Habilidades de IA ou servidores MCP. O alcance da campanha torna-a mais do que uma típica fraude de desenvolvedor. A onda focada em IA construiu-se até março e atingiu o pico em abril de 2026, enquanto projetos maliciosos apareceram mais de 600 vezes em catálogos e registros de IA públicos.
Vetor de ataque e entrega do malware
Vítimas podem ser direcionadas para arquivos ZIP apresentados como instaladores úteis, depois incentivados a extrair e executar arquivos que não têm conexão com a ferramenta anunciada. Um exemplo de como a infecção começa é um repositório chamado 45d5r/databricks-mcp-server. Sua documentação anuncia uma integração empresarial e fornece um botão de download, mas o arquivo vinculado contém um lançador de comandos, um tempo de execução estilo LuaJIT renomeado e um programa Lua ofuscado disfarçado de arquivo de texto.
Executar o lançador ativa o payload oculto em vez de instalar um servidor MCP. Variantes relacionadas podem ocultar suas janelas de console, localizar seu servidor de comandos através de um valor armazenado em um contrato inteligente Polygon, criar persistência de tarefa agendada e recuperar estágios criptografados do GitHub. Os estágios eventualmente injetam o StealC em outro processo, continuando a ameaça de roubo de credenciais coberta em relatórios anteriores sobre a interrupção da infraestrutura StealC.
Risco na descoberta de IA
O AgentBaiting muda a ameaça porque um agente de IA pode descobrir o repositório malicioso sem que a vítima receba um link direto. Durante os testes, pesquisadores descobriram que Claude Code, Gemini e ChatGPT poderiam surfear independentemente repositórios da campanha quando solicitados a encontrar uma Habilidade ou servidor MCP. Os resultados variaram, mas ainda expuseram uma lacuna perigosa.
Um agente testado recomendou uma opção benigna enquanto repetia instruções de instalação maliciosas como alternativa. Em outro teste, o Gemini retornou um repositório MCP da Walmart como seu primeiro resultado, enquanto o ChatGPT listou o mesmo repositório entre opções públicas e o destacou como ponto de partida. Registros públicos podem expandir ainda mais essa exposição. A Island encontrou mais de 600 listagens da campanha em LobeHub, Glama, MCP.so e MCP Market.
Medidas de mitigação recomendadas
Organizações devem confiar em um catálogo curado e revisado para Habilidades, servidores MCP e plug-ins de agente em vez de descoberta irrestrita. Novas capacidades devem ser testadas em um ambiente isolado sem sessões de navegador, credenciais de nuvem, chaves SSH ou dados de produção. Um suposto recurso de IA distribuído como um ZIP do Windows contendo um lançador e payload oculto deve ser rejeitado.
As equipes devem verificar os editores com tanto cuidado quanto os projetos, já que contagens de estrelas, perfis copiados e listagens de registro não estabelecem legitimidade. Elas devem monitorar downloads, clones Git, comandos de shell e alterações em configurações de MCP ou Habilidade iniciadas por agentes. Manter um inventário de repositório, commit, versão e hash de pacote de cada capacidade pode acelerar a investigação.
Indicadores de comprometimento (IoCs)
Se a execução do SmartLoader for suspeita, as equipes de segurança devem isolar o endpoint e revogar sessões de navegador ativas, concessões OAuth, tokens de API, credenciais de nuvem e credenciais de desenvolvedor. Apenas a redefinição de senhas pode não ser suficiente, pois o StealC pode roubar sessões ativas, dados de navegador, credenciais de e-mail e acesso remoto, capturas de tela e detalhes do host. Os IoCs incluem repositórios GitHub específicos como Mann1988/awesome-claude-skills e hashes SHA-256 de pacotes maliciosos que devem ser bloqueados nos gateways de segurança.