Yoba: aplicații false ChatGPT și Claude cu binare semnate

Pe 27 octombrie, Check Point Research a descris o campanie pe care o numește Yoba: proiecte false pe GitHub promovează versiuni desktop pentru Windows ale ChatGPT și Claude, cu nume inventate precum „GPT-5.6 Sol”, „GPT-6 Astra” și „Claude Opus”. Pachetul descărcat conține un executabil autentic, semnat de OpenAI sau de Anthropic, iar lângă el un DLL malițios pe care executabilul îl încarcă la pornire. Potrivit Check Point, citată de Help Net Security, nici produsele, nici cele două companii nu au fost compromise: atacatorii abuzează de binare legitime și de credibilitatea mărcilor.

Ce s-a întâmplat

Campania este urmărită de aproximativ două luni. Potrivit CSO Online, care citează datele commit-urilor, release-urile malițioase au fost încărcate pe 30 și 31 august și pe 4 septembrie. O variantă anterioară, de la începutul lunii iunie 2026, se prezenta drept agentul de programare Cursor: potrivit Help Net Security, era construită să ruleze sub un proces numit Cursor.exe și folosea același canal Telegram și aceeași imagine. În cazurile observate, payload-ul final este minerul de criptomonede XMRig, dar loader-ul poate descărca și rula orice executabil sau script PowerShell: Check Point avertizează că valurile viitoare ar putea aduce alte familii de malware.

Cum ajung victimele

Depozitele au pagini pe GitHub Pages, iar fișierele ZIP se află în release-urile GitHub. Nu au stele sau fork-uri umflate artificial, dar apar printre primele rezultate Google: Check Point pune acest lucru pe seama SEO poisoning, adică titluri, descrieri și domenii optimizate pentru motoarele de căutare externe. Potrivit Help Net Security, fișierele ZIP nu erau protejate cu parolă, cum se întâmplă des pentru a evita analiza automată: malware-ul avea deja rate de detecție foarte mici datorită tehnicilor anti-sandbox și anti-analiză.

Lanțul de atac

1. DLL side-loading: în ZIP se află un Setup.exe autentic de la OpenAI sau Anthropic, alături de un fișier winmm.dll (CSO Online). La rulare, executabilul semnat încarcă biblioteca din propriul folder: acesta este YobaDropper.
2. Verificări anti-analiză: dropper-ul verifică numele procesului gazdă și, potrivit CSO Online, stă inactiv aproximativ 12 zile dacă nu a fost lansat de un proces numit Setup.exe. Evită sistemele cu aranjament de tastatură rusesc și din alte țări CSI; Infosecurity Magazine și Help Net Security precizează că ucraineana nu se numără printre excluderi. Înainte de a continua, cere drepturi de administrator.
3. Persistență: cu drepturi ridicate, creează un folder în ProgramData, copiază acolo un executabil legitim Windows Media Player și pune lângă el un al doilea DLL malițios. Apoi creează o sarcină programată care rulează ca Local System la trei minute după fiecare pornire, cu „Microsoft Corporation” ca autor și descrisă drept sarcină Windows Media Player.
4. YobaLoader, fără servere de comandă dedicate: a doua etapă descarcă imaginea de profil a canalului Telegram yoba_fanclub și folosește o parte din ea pentru a genera un nume de domeniu, astfel încât operatorul schimbă domeniul doar schimbând imaginea. Interoghează acel domeniu prin serviciul DNS-over-HTTPS al Google și obține o înregistrare TXT criptată care, după verificare și decriptare, conține linkul către un fișier găzduit pe Catbox.
5. Payload: XMRig este injectat într-un proces Windows, ajunge la serverul de minare prin Tor și se oprește cât timp utilizatorul folosește calculatorul.

Check Point indică semne de origine rusă și, potrivit Help Net Security, o activitate concentrată în fusul orar UTC-4, cu adrese de email și fusuri orare diferite pentru fiecare depozit, pentru a ascunde urmele. Nu a fost numit niciun grup.

Tehnici MITRE ATT&CK

Pe baza descrierii din surse:

• SEO Poisoning (T1608.006) și User Execution: Malicious File (T1204.002);
• Hijack Execution Flow: DLL (T1574.001), care în ATT&CK include side-loading-ul;
• Time Based Evasion (T1497.003) și System Language Discovery (T1614.001);
• Scheduled Task (T1053.005) și Masquerading (T1036);
• Dead Drop Resolver (T1102.001), Domain Generation Algorithms (T1568.002) și Application Layer Protocol: DNS (T1071.004);
• Multi-hop Proxy (T1090.003), Process Injection (T1055) și Resource Hijacking (T1496).

Impactul pentru companiile europene și italiene

O semnătură digitală validă atestă autenticitatea executabilului, nu și a ceea ce încarcă sau a pachetului în care este distribuit: controalele bazate doar pe semnătură sau pe reputația fișierului lasă lanțul să pornească. Nici rețeaua nu ajută prea mult: Telegram, DNS-ul Google și Catbox sunt servicii legitime, iar blocarea unui domeniu nu oprește mecanismul, pentru că domeniul se schimbă odată cu imaginea.

Riscul cel mai mare privește stațiile de lucru ale dezvoltatorilor și ale celor care încearcă singuri instrumente de IA: au adesea drepturi de administrator, cod sursă, chei API și credențiale cloud. Minerul este paguba vizibilă; loader-ul, care rulează orice primește, este adevărata problemă. Pentru entitățile NIS2, gestionarea activelor, controlul accesului privilegiat și regulile privind software-ul care poate fi instalat fac parte din măsurile de gestionare a riscului prevăzute de articolul 21.

Ce trebuie să faci acum

1. Descarcă aplicațiile de IA doar de pe site-urile oficiale ale producătorilor și oferă un catalog de instrumente aprobate, cu termene scurte de aprobare: dacă procesul intern e lent, angajații se descurcă singuri.
2. Elimină drepturile permanente de administrator de pe stații, inclusiv de pe cele ale dezvoltatorilor: fără ele, dropper-ul nu continuă.
3. Extinde controlul aplicațiilor la DLL-uri și la rularea din foldere în care utilizatorul poate scrie, nu doar la executabilele semnate.
4. Caută indicatorii: un winmm.dll lângă un Setup.exe în afara folderelor de sistem; un executabil Windows Media Player copiat în ProgramData cu un DLL alături; sarcini programate cu autorul „Microsoft Corporation” care lansează fișiere din ProgramData ca Local System; procese care nu sunt browserul și folosesc DNS-over-HTTPS sau contactează Telegram și Catbox; trafic Tor și consum neobișnuit de CPU.
5. Dacă găsești Yoba, tratează-l ca pe o compromitere completă, cum recomandă Check Point, și nu te opri la eliminarea XMRig: izolează mașina, verifică ce altceva a fost descărcat și schimbă cheile API, token-urile și credențialele de pe stație.

Sursele consultate nu conțin hash-uri sau domenii; textul complet al articolului The Hacker News nu a fost disponibil pentru această analiză.

Cum ajută ARXDOME

ARX Sentry colectează loguri și evenimente de securitate de pe calculatoare și servere, împreună cu inventarul de software și procese, și le grupează în familii precum execuții suspecte și persistență: o sarcină programată nouă sau un executabil într-un folder neobișnuit apar în paginile SOC. Cu ARX Trace, analiștii caută pe mai multe mașini fișierele și activitatea descrise, iar ARX Shield îți permite să izolezi din rețea o stație suspectă și să verifici starea protecției fiecărei mașini.

Ultima actualizare: 29 octombrie 2026