Yoba: falsas apps de ChatGPT y Claude con binarios firmados

El 27 de octubre, Check Point Research describió una campaña que llama Yoba: falsos proyectos de GitHub promocionan versiones de escritorio para Windows de ChatGPT y Claude, con nombres inventados como «GPT-5.6 Sol», «GPT-6 Astra» y «Claude Opus». El paquete descargado contiene un ejecutable auténtico, firmado por OpenAI o por Anthropic, y junto a él una DLL maliciosa que ese ejecutable carga al arrancar. Según Check Point, citada por Help Net Security, ni los productos ni las dos empresas han sido comprometidos: los atacantes aprovechan binarios legítimos y la credibilidad de las marcas.

Qué ha pasado

La campaña se sigue desde hace unos dos meses. Según CSO Online, que cita los datos de los commits, las releases maliciosas se subieron el 30 y el 31 de agosto y el 4 de septiembre. Una variante anterior, de principios de junio de 2026, se presentaba como el agente de programación Cursor: según Help Net Security estaba hecha para ejecutarse bajo un proceso Cursor.exe y usaba el mismo canal de Telegram y la misma imagen. En los casos observados el payload final es el minero de criptomonedas XMRig, pero el loader puede descargar y ejecutar cualquier ejecutable o script de PowerShell: Check Point advierte que las próximas oleadas podrían traer otras familias de malware.

Cómo llegan las víctimas

Los repositorios tienen páginas en GitHub Pages y los ZIP están en las releases de GitHub. No tienen estrellas ni forks inflados, pero aparecen entre los primeros resultados de Google: Check Point lo atribuye al SEO poisoning, es decir, títulos, descripciones y dominios optimizados para los buscadores externos. Según Help Net Security, los ZIP no estaban protegidos con contraseña, como suele hacerse para eludir el análisis automático: el malware ya tenía tasas de detección muy bajas gracias a sus técnicas anti-sandbox y antianálisis.

La cadena de ataque

1. DLL side-loading: en el ZIP hay un Setup.exe auténtico de OpenAI o Anthropic junto a un archivo winmm.dll (CSO Online). Al ejecutarse, el binario firmado carga la biblioteca desde su propia carpeta: es YobaDropper.
2. Controles antianálisis: el dropper comprueba el nombre del proceso que lo aloja y, según CSO Online, se queda parado unos 12 días si no lo ha lanzado un proceso llamado Setup.exe. Evita los sistemas con distribución de teclado rusa y de otros países de la CEI; Infosecurity Magazine y Help Net Security precisan que el ucraniano no está entre las exclusiones. Antes de seguir pide privilegios de administrador.
3. Persistencia: con privilegios elevados crea una carpeta en ProgramData, copia en ella un ejecutable legítimo de Windows Media Player y coloca al lado una segunda DLL maliciosa. Después crea una tarea programada que se ejecuta como Local System tres minutos después de cada arranque, con «Microsoft Corporation» como autor y descrita como tarea de Windows Media Player.
4. YobaLoader, sin servidores de mando dedicados: la segunda fase descarga la imagen de perfil del canal de Telegram yoba_fanclub y usa una parte para generar un nombre de dominio, de modo que el operador cambia de dominio cambiando la imagen. Consulta ese dominio a través del servicio DNS-over-HTTPS de Google y obtiene un registro TXT cifrado que, una vez verificado y descifrado, contiene el enlace a un archivo alojado en Catbox.
5. Payload: XMRig se inyecta en un proceso de Windows, llega a su servidor de minería a través de Tor y se detiene mientras el usuario está usando el ordenador.

Check Point señala indicios de origen ruso y, según Help Net Security, una actividad concentrada en el huso horario UTC-4, con direcciones de correo y husos distintos para cada repositorio para despistar. No se ha nombrado a ningún grupo.

Técnicas MITRE ATT&CK

Según la descripción de las fuentes:

• SEO Poisoning (T1608.006) y User Execution: Malicious File (T1204.002);
• Hijack Execution Flow: DLL (T1574.001), que en ATT&CK incluye el side-loading;
• Time Based Evasion (T1497.003) y System Language Discovery (T1614.001);
• Scheduled Task (T1053.005) y Masquerading (T1036);
• Dead Drop Resolver (T1102.001), Domain Generation Algorithms (T1568.002) y Application Layer Protocol: DNS (T1071.004);
• Multi-hop Proxy (T1090.003), Process Injection (T1055) y Resource Hijacking (T1496).

Impacto para las empresas europeas e italianas

Una firma digital válida acredita la autenticidad del ejecutable, no la de lo que carga ni la del paquete en el que se distribuye: los controles basados solo en la firma o en la reputación del archivo dejan arrancar la cadena. La red tampoco ayuda mucho: Telegram, el DNS de Google y Catbox son servicios legítimos, y bloquear un dominio no detiene el mecanismo, porque el dominio cambia con la imagen.

El mayor riesgo afecta a los puestos de los desarrolladores y de quien prueba herramientas de IA por su cuenta: a menudo tienen derechos de administrador, código fuente, claves API y credenciales de la nube. El minero es el daño visible; el loader, que ejecuta todo lo que recibe, es el verdadero problema. Para las entidades sujetas a NIS2, la gestión de activos, el control de los accesos privilegiados y las reglas sobre el software instalable forman parte de las medidas de gestión del riesgo del artículo 21.

Qué hacer ya

1. Descarga las apps de IA solo de los sitios oficiales de los fabricantes y ofrece un catálogo de herramientas aprobadas con plazos de aprobación cortos: si el canal interno es lento, el personal se las arregla por su cuenta.
2. Quita los derechos de administrador permanentes de los puestos, también los de los desarrolladores: sin ellos, el dropper no continúa.
3. Extiende el control de aplicaciones a las DLL y a la ejecución desde carpetas en las que el usuario puede escribir, no solo a los ejecutables firmados.
4. Busca los indicadores: un winmm.dll junto a un Setup.exe fuera de las carpetas del sistema; un ejecutable de Windows Media Player copiado en ProgramData con una DLL al lado; tareas programadas con autor «Microsoft Corporation» que lanzan archivos de ProgramData como Local System; procesos que no son el navegador y usan DNS-over-HTTPS o contactan con Telegram y Catbox; tráfico Tor y uso anómalo de la CPU.
5. Si encuentras Yoba, trátalo como un compromiso completo, como recomienda Check Point, y no te limites a eliminar XMRig: aísla la máquina, comprueba qué más se ha descargado y cambia las claves API, los tokens y las credenciales presentes en el puesto.

Las fuentes consultadas no incluyen hashes ni dominios; el texto completo del artículo de The Hacker News no estaba disponible para este análisis.

Cómo ayuda ARXDOME

ARX Sentry recoge logs y eventos de seguridad de ordenadores y servidores, junto con el inventario de software y procesos, y los agrupa en familias como ejecuciones sospechosas y persistencia: una tarea programada nueva o un ejecutable en una carpeta inusual aparecen en las páginas del SOC. Con ARX Trace los analistas buscan en varias máquinas los archivos y la actividad descritos, mientras que ARX Shield te permite aislar de la red un puesto sospechoso y comprobar el estado de la protección de cada máquina.

Última actualización: 29 de octubre de 2026