Нова хвиля шахрайств: підроблені AI-додатки крадуть криптовалюту через SEO-пошкодження
Зловмисники запустили масштабну шахрайську кампанію, що використовує фейкові додатки із назвами на кшталт «GPT-6 Astra», «GPT-5.6 Sol» та «Claude Opus». Їхня мета — заражати пристрої користувачів і таємно видобувати криптовалюту, завдяки чому вони отримують прибуток без відома жертв.
Як працює шахрайство із підробленими AI-додатками
Ця афера поширюється через підроблені проєкти на GitHub, що стають своєрідною маскуванням для шкідливих програм. Фішингові листи їм не потрібні, адже фальшиві сторінки завантаження успішно потрапляють у топ результатів пошуку — найімовірніше, через техніку SEO-пошкодження, що вводить у оману пошукові системи.
Дослідники з компанії Check Point виявили, що кампанія, яку назвали Yoba, не просто викрадає дані — вона видає завантаження за офіційні інсталяції від OpenAI та Anthropic. У пакеті насправді є справжній підписаний инсталятор ChatGPT або Claude, що створює ілюзію легітимності. Однак, крім справжнього додатку, разом запускається й шкідливе ПЗ.
Що саме відбувається всередині пакету
- YobaDropper починає свою роботу, перевіряючи, що його активував правильний файл Setup.exe.
- Якщо перевірка не проходить, запуск затягується і працює повільно, щоб ускладнити автоматичний аналіз.
- Проводиться перевірка мови регіону, а також потрібно підтвердження прав адміністратора для продовження.
Після всього цього YobaDropper активує YobaLoader разом із легітимним файлом Windows і створює завдання в планувальнику, щоб після перезавантаження система запускала справжній додаток, який підвантажує й шкідливий компонент.
Унікальна стратегія маскування
Зловмисники використовують популярні, довірені інтернет-сервіси для завантаження шкідливих компонентів — серед них Telegram, DNS-over-HTTPS від Google та Catbox. Цей підхід дає можливість приховати злочинну активність серед звичайного трафіку, значно ускладнюючи її виявлення системами безпеки.
Фінальним ударом служить запуск XMRig 6.26.0 — відомого майнера криптовалюти. Але слід пам’ятати: YobaLoader — це універсальний завантажувач, який може доставляти різні типи шкідливих програм, залежно від задуму кіберзлочинців.
Хто стоїть за атакою і як себе захистити
- Відомо, що злочинці, ймовірно, мають російське походження і діють за часовою зоною UTC-4.
- Цікаво, що вони уникають зараження пристроїв із російською чи іншими мовами країн СНД.
- Щоб захиститися, фахівці радять завантажувати AI-додатки лише з офіційних джерел, обмежувати запуск небажаного ПЗ та контролювати права адміністратора.
В епоху, коли AI набирає популярності, дуже важливо розуміти, звідки надходить ваше програмне забезпечення, а не лише що воно робить.
Підписуйтеся та слідкуйте за оновленнями
Підписка на розсилку допоможе завжди бути в курсі новин, аналітики й рекомендацій у сфері кібербезпеки та IT-технологій. Слідкуйте за профілями на Google News, LinkedIn, X, Facebook та BlueSky, аби не пропустити важливі повідомлення.
