Обережно: фейкові додатки ChatGPT і Claude поширюють шкідливе ПЗ через підроблені GitHub
Останнім часом з’явилася нова загроза для користувачів Windows — шахраї поширюють підроблені десктопні додатки, які нібито представляють ChatGPT і Claude. Ці додатки маскуються під офіційні програми, надаючи справжні цифрові підписи від OpenAI та Anthropic, але при цьому містять небезпечне шкідливе ПЗ.
За результатами дослідження аналітиків Check Point, у Windows-системи через завантажене ПЗ потрапляє програма для майнінгу криптовалюти, а також інші потенційні загрози. Кампанія, відома як “Yoba”, розповсюджує ці фальшивки через спеціально створені GitHub-ресурси і сторінки GitHub.io, які виглядають цілком легітимно.
Як працюють шахрайські GitHub-сторінки і звідки качається небезпечне ПЗ
Зловмисники створюють проєкти з назвами на кшталт “GPT-5.6 Sol”, “GPT-6 Astra” чи “Claude Opus”, розміщують опис функцій і посилання на архіви для завантаження, які розміщені на офіційних GitHub Releases. Через це сторінки виглядають переконливо й викликають довіру у користувачів.
Додатково вони оптимізують ці сторінки для пошукових систем, внаслідок чого деякі з них опиняються у топі результатів Google. Хоча прямої накрутки популярності через фальшиві зірки чи форки не виявлено, тексти й SEO-налаштування забезпечують високий охват.
Після завантаження програми запускається офіційний підписаний виконуваний файл. Однак поряд з ним знаходиться шкідливий DLL-файл “winmm.dll”, котрий запускається через відому техніку DLL sideloading. Хоч підпис програми справжній, саме цей небезпечний файл відповідає за інфікування.
Механізм дії шкідника та вимоги доступу адміністратора
Цей комп’ютерний вірус, названий дослідниками YobaDropper, перед виконанням перевіряє наявність прав адміністратора. Якщо таких немає, він попереджає користувача і завершує роботу.
Ще одна цікава деталь — шкідник відфільтровує клавіатурні розкладки російської та білоруської мов, тоді як українська поки залишається в зоні “проходу”. Проте це лише орієнтовний метод визначення геолокації, що не дає 100% гарантії.
Щоб зберегти контроль над системою, вірус створює заплановане завдання, яке запускає скопійований виконуваний файл через кілька хвилин після старту Windows. Цей механізм гарантує, що YobaLoader залишатиметься активним навіть після перезавантаження комп’ютера.
Як Telegram допомагає завантажити основне шкідливе навантаження
Один з найбільш хитромудрих елементів цієї атаки — використання зображення профілю Telegram-каналу. YobaLoader завантажує це зображення і за останніми 50 байтами генерує доменне ім’я, до якого потім звертається за командами.
Цей прийом дає змогу зловмисникам динамічно змінювати сервер управління без необхідності оновлювати сам шкідник.
Далі завантажуються інструкції через зашифровані DNS TXT-записи, які потім підтверджуються і дешифруються. Для доставки наступного шкідливого компоненту використовують сервіс Catbox, що ускладнює виявлення атак.
Спостерігалися випадки, коли майнер XMRig використовував анонімну мережу Tor для спілкування, а також мав функцію призупинки роботи під час активного використання ПК — така тактика знижує ймовірність того, що користувач помітить надмірне навантаження процесора.
Чому цифровий підпис не гарантує безпечність програм
Варто пам’ятати: навіть якщо додаток має офіційний цифровий підпис, це аж ніяк не означає, що він безпечний. Зловмисники вміло “причепили” підписані файли разом із шкідливими компонентами, тож користувач може отримати вірус разом із виглядом легальної програми.
Рекомендації для користувачів, які шукають інструменти штучного інтелекту, прості:
- Завантажувати додатки виключно з офіційних сайтів або перевірених джерел.
- Уважно перевіряти, чи запитує програма права адміністратора і чи варто їх надавати.
- Обмежувати встановлення програм із неперевірених репозиторіїв або від невідомих розробників.
Ці заходи допоможуть уникнути потрапляння на шахрайства і збережуть ваш комп’ютер в безпеці.
