Yoba: falsi ChatGPT e Claude con binari firmati e DLL malevole

Check Point Research ha descritto il 27 ottobre una campagna che chiama Yoba: finti progetti GitHub promuovono versioni desktop per Windows di ChatGPT e Claude, con nomi inventati come «GPT-5.6 Sol», «GPT-6 Astra» e «Claude Opus». Il pacchetto scaricato contiene un eseguibile autentico, firmato da OpenAI o da Anthropic, e accanto una DLL malevola che quell’eseguibile carica all’avvio. Secondo Check Point, citata da Help Net Security, né i prodotti né le due aziende sono stati compromessi: gli attaccanti sfruttano binari legittimi e la credibilità dei marchi.

Cosa è successo

La campagna è seguita da circa due mesi. Secondo CSO Online, che riporta i dati dei commit, le release malevole sono state caricate il 30 e il 31 agosto e il 4 settembre. Una variante precedente, di inizio giugno 2026, si presentava come l’agente di programmazione Cursor: secondo Help Net Security era costruita per girare sotto un processo Cursor.exe e usava lo stesso canale Telegram e la stessa immagine. Nei casi osservati il payload finale è il miner di criptovaluta XMRig, ma il loader può scaricare ed eseguire qualsiasi eseguibile o script PowerShell: Check Point avverte che le prossime ondate potrebbero portare altre famiglie di malware.

Come arrivano le vittime

I repository hanno pagine su GitHub Pages e i file ZIP stanno nelle release di GitHub. Non hanno stelle o fork gonfiati, eppure compaiono tra i primi risultati di Google: Check Point lo attribuisce al SEO poisoning, cioè titoli, descrizioni e domini ottimizzati per i motori di ricerca esterni. Secondo Help Net Security gli ZIP non erano protetti da password, come accade spesso per sfuggire all’analisi automatica: il malware aveva già tassi di rilevamento molto bassi grazie alle tecniche anti-sandbox e anti-analisi.

La catena d’attacco

1. DLL side-loading: nello ZIP c’è un Setup.exe autentico di OpenAI o Anthropic con accanto un file winmm.dll (CSO Online). All’avvio l’eseguibile firmato carica la libreria dalla propria cartella: è YobaDropper.
2. Controlli anti-analisi: il dropper verifica il nome del processo che lo ospita e, secondo CSO Online, resta fermo per circa 12 giorni se non è stato avviato da un processo chiamato Setup.exe. Salta i sistemi con layout di tastiera russo e di altri paesi della CSI; Infosecurity Magazine e Help Net Security precisano che l’ucraino non è tra le esclusioni. Prima di proseguire chiede i privilegi di amministratore.
3. Persistenza: con i privilegi elevati crea una cartella in ProgramData, vi copia un eseguibile legittimo di Windows Media Player e vi mette accanto una seconda DLL malevola. Poi crea un’attività pianificata che gira come Local System tre minuti dopo ogni avvio, con autore «Microsoft Corporation» e descritta come attività di Windows Media Player.
4. YobaLoader, senza server di comando dedicati: il secondo stadio scarica l’immagine del profilo del canale Telegram yoba_fanclub e ne usa una parte per generare un nome di dominio, così l’operatore cambia dominio cambiando l’immagine. Interroga quel dominio tramite il servizio DNS-over-HTTPS di Google e ottiene un record TXT cifrato che, verificato e decifrato, contiene il link a un file ospitato su Catbox.
5. Payload: XMRig viene iniettato in un processo di Windows, raggiunge il server di mining attraverso Tor e si ferma quando l’utente sta usando il computer.

Check Point indica tracce di origine russa e, secondo Help Net Security, un’attività concentrata nel fuso orario UTC-4, con indirizzi email e fusi diversi per ogni repository per confondere le tracce. Nessun gruppo è stato nominato.

Tecniche MITRE ATT&CK

In base alla descrizione delle fonti:

• SEO Poisoning (T1608.006) e User Execution: Malicious File (T1204.002);
• Hijack Execution Flow: DLL (T1574.001), che in ATT&CK comprende il side-loading;
• Time Based Evasion (T1497.003) e System Language Discovery (T1614.001);
• Scheduled Task (T1053.005) e Masquerading (T1036);
• Dead Drop Resolver (T1102.001), Domain Generation Algorithms (T1568.002) e Application Layer Protocol: DNS (T1071.004);
• Multi-hop Proxy (T1090.003), Process Injection (T1055) e Resource Hijacking (T1496).

Impatto per le aziende europee e italiane

La firma digitale valida attesta l’autenticità dell’eseguibile, non di ciò che carica né del pacchetto in cui è distribuito: i controlli basati solo sulla firma o sulla reputazione del file lasciano partire la catena. Anche la rete aiuta poco: Telegram, il DNS di Google e Catbox sono servizi leciti, e bloccare un dominio non ferma il meccanismo, perché il dominio cambia con l’immagine.

Il rischio maggiore riguarda le postazioni degli sviluppatori e di chi prova strumenti di IA in autonomia: spesso hanno diritti di amministratore, codice sorgente, chiavi API e credenziali cloud. Il miner è il danno visibile; il loader, che esegue qualunque cosa riceva, è il vero problema. Per i soggetti NIS2 la gestione degli asset, il controllo degli accessi privilegiati e le regole sul software installabile rientrano tra le misure di gestione del rischio previste dall’articolo 21.

Cosa fare subito

1. Scarica le app di IA solo dai siti ufficiali dei produttori e offri un catalogo di strumenti approvati con tempi di approvazione brevi: se il canale interno è lento, il personale si arrangia da solo.
2. Togli i diritti di amministratore permanenti dalle postazioni, comprese quelle degli sviluppatori: senza, il dropper non prosegue.
3. Estendi il controllo delle applicazioni alle DLL e all’esecuzione da cartelle scrivibili dall’utente, non solo agli eseguibili firmati.
4. Cerca gli indicatori: un winmm.dll accanto a un Setup.exe fuori dalle cartelle di sistema; un eseguibile di Windows Media Player copiato in ProgramData con una DLL accanto; attività pianificate con autore «Microsoft Corporation» che avviano file in ProgramData come Local System; processi diversi dal browser che usano DNS-over-HTTPS o contattano Telegram e Catbox; traffico Tor e uso anomalo della CPU.
5. Se trovi Yoba, trattalo come una compromissione completa, come raccomanda Check Point, e non limitarti a rimuovere XMRig: isola la macchina, verifica cos’altro è stato scaricato e cambia chiavi API, token e credenziali presenti sulla postazione.

Le fonti consultate non riportano hash né domini; il testo completo dell’articolo di The Hacker News non era disponibile per questa analisi.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di sicurezza da computer e server, con l’inventario di software e processi, e li raggruppa in famiglie come esecuzioni sospette e persistenza: un’attività pianificata nuova o un eseguibile in una cartella insolita emergono nelle pagine del SOC. Con ARX Trace gli analisti cercano su più macchine i file e le attività indicati, mentre ARX Shield consente di isolare dalla rete una postazione sospetta e di verificare lo stato della protezione di ogni macchina.

Ultimo aggiornamento: 29 ottobre 2026