Обережно: Хакери поширюють шкідливе ПЗ через підроблені завантаження ChatGPT і Claude
Зловмисники активізувалися в розповсюдженні шкідливого програмного забезпечення Yoba, маскуючи його під нібито офіційні завантаження додатків ChatGPT і Claude. Вони комбінують справжні цифрово підписані програми з шкідливими бібліотеками, що створює ілюзію безпеки і змушує користувачів довіряти таким інсталяторам.
Ця кампанія використовує авторитетне програмне забезпечення та хостинг GitHub для того, щоб «підтасувати» підозрілі інсталятори під надійні. В результаті на заражені комп’ютери з Windows потрапляє криптовалютний майнер, що непомітно віднімає ресурси техніки.
Варто зауважити, що атака не вимагає злому OpenAI або Anthropic. Злочинці просто розміщують шкідливі файли поряд із справжніми виконуваними файлами, зловживаючи механізмом завантаження підтримуючих бібліотек у цих програмах.
Подпис справжнього файлу гарантує його цілісність, але зовсім не означає, що інші файли в тій же папці є безпечними. Аналітики PolySwarm у своєму звіті від 2 листопада описали цей метод як поєднання зловживання підписаними додатками, контролю навколишнього середовища та пошарового завантаження шкідливих компонентів.
Зловживання підписаними додатками ChatGPT та Claude
Зловмисники створили GitHub-репозиторії й сайти на GitHub Pages, які рекламують підроблені десктопні додатки з назвами GPT-5.6 Sol, GPT-6 Astra та Claude Opus. Користувачів заманювали завантаженням ZIP-файлів із офіційних релізів GitHub.
Розслідування показало, що репозиторії з’явилися ще в липні 2026 року, а шкідливі релізи почалися наприкінці серпня й на початку вересня. Деякі проекти навіть потрапили в топ Google-пошуку, хоча їх рейтинг не штучно підвищувався через зірки або форки.
Експерти Check Point вважають, що це результат SEO-отруєння – техніки маніпулювання пошуковими результатами. Всередині архівів справжній підписаний інсталятор завантажує YobaDropper через DLL sideloading.
- Шкідлива бібліотека маскується під мультимедійний компонент Windows із 180 функціями,
- Проте реальна шкідлива логіка активується відразу при запуску,
- Це не обмежується лише сферами штучного інтелекту – схожі методи застосовують і в інших атаках.
Перед подальшим виконанням YobaDropper перевіряє ім’я хостового виконуваного файлу. Якщо воно не збігається, то починається затримка з 200 000 циклів сну по 5,5 секунд, що допомагає уникнути автоматичного аналізу.
Також відбувається фільтрація клавіатурних розкладок. Відмовляються в роботі мови типу російської, білоруської, вірменської, азербайджанської, казахської, але українська при цьому не блокується. Для запуску потрібні права адміністратора.
Далі в каталозі ProgramData копіюється справжній компонент Windows Media Player, а ще одна шкідлива бібліотека дешифрується. Заплановане завдання від імені Local System з тривалою затримкою запускає цей виконуваний файл.
Telegram, майнінг XMRig та пріоритети виявлення
Завантажувач YobaLoader використовує зображення профілю Telegram-каналу як вхідні дані для алгоритму генерації доменів. Зміна картинки дозволяє операторам змінити сервери керування шкідливим ПЗ без потрібно переписувати код.
Завантажувач звертається до DNS-over-HTTPS сервісу Google, перевіряє отримані команди за допомогою підписів Ed25519 і розшифровує їх AES в режимі ECB. Після цього з сервісів на кшталт Catbox завантажується зашифрований payload.
В процесі роботи зафіксували вливання майнера XMRig версії 6.26.0 у процес Windows-сервісу. Майнінг трафіку відбувався через локальний Tor SOCKS5 проксі, при цьому активність припинялася під час користування комп’ютером.
- YobaLoader підтримує як виконувані payload, так і приховані скрипти PowerShell,
- Однак наразі не зафіксовано викрадення інформації чи запуск програм-вимагачів,
- Важливо перевіряти незвичайне завантаження DLL, підозрілі завдання в планувальнику Windows та файли в нетипових директоріях.
Показники компрометації (IoC)
| Компонент | SHA-256 |
|---|---|
| YobaDropper | 2a61e811669c2fa9f2d9ecbc8d4c0932897409244d352dded764a4fd936c4d1c |
| YobaDropper | e066c6a728ac92d261c1abff7bfce1ad5ebd8b1ef054974431221629ac30d221 |
| YobaDropper | 2ebf2759195413e44f9e77cc8360976f989ff96e05531d40ec7d05756a1ea9c4 |
| YobaDropper | 8fe2edd0572ea9f092d80c503d2c6df9026c36bd0ace1a77bdeff9cc99737739 |
| YobaDropper | 73076c366edd5b8b351f04725663d2189a92dfdc93cc34740a61a1de9bbde51e |
| YobaDropper | b29cbf1bdde86ab15b5789e30dab7ce74c14ffd98f9d7e8b4f9887000e6d6834 |
| YobaLoader | 715e3ae134195f89d8da82ec4cbe6ba1d596d756a2c207a95f75a94afcdff3a4 |
| YobaLoader | 7a9d66a4637ee2a1ee1e82cfa5db91f720b757aa8fe1457e0807b1f2210b308e |
| YobaLoader | 4d75c5461b65a2944b12414f1e5ef301fe411c1968788134d90aaaa6a50e68dd |
Артефакти та контекст розслідування
| Артефакт | Контекст розслідування |
|---|---|
| winmm.dll | Початкова шкідлива бібліотека при sideloading |
| wmpdui.dll | Бібліотека другого етапу атаки |
| WMProcess | Каталог, створений у ProgramData |
| Setup.exe | Підписаний і справжній інсталятор, використаний для атаки |
| WMPDMC.exe | Справжній Windows екзешник, що копіюється |
| Cursor.exe | Очікуваний хост-емулятор попередньої версії |
| dedyn[.]io | Динамічна DNS-служба, що використовується |
| svchost.exe | Ціль для ін’єкції payload |
| Zone.Identifier | Метадані про походження, видалені до виконання |
Увага! IP-адреси та домени спеціально змінені (наприклад, [.] ) для запобігання випадковому доступу або посиланню. Відновлюйте їх тільки у безпечному середовищі відповідних платформ для аналізу загроз.
Підготуйте вашу SOC до оперативної реакції та інтегруйте розвідку загроз від 16 тисяч SOC для ефективної зупинки інцидентів.
