腾讯安全追踪 FakeGit 伪造开源生态投毒活动

腾讯安全威胁情报中心披露 FakeGit 投毒活动：攻击者在 GitHub 批量伪造 AI 开发工具与爬虫仓库，诱导 OpenClaw 等 AI Agent 自主安装，最终投放 StealC 窃密木马。载荷寄生在合法 LuaJIT 解释器中，结合进程镂空与 Polygon 区块链合约动态解析 C2，4 个月内已轮换 9 个 C2 地址。