Sahte ChatGPT ve Claude uygulamaları imzalı çalıştırılabilir dosyaları kötüye kullanarak kripto madencisi yüklüyor

Yoba adlı kampanya, GitHub'da yapay zeka araçlarının masaüstü uygulaması gibi görünen sahte projeler üzerinden YobaLoader zararlısını dağıtıyor; zararlı, OpenAI ve Anthropic'in imzalı dosyalarının yanına konan kötü amaçlı bir winmm.dll ile çalışıyor.

Yoba adlı bir kampanya, GitHub'da ChatGPT ve Claude için masaüstü uygulaması gibi davranan sahte depolar aracılığıyla YobaLoader adlı zararlı yazılım ailesini dağıtıyor. Bu depolar, OpenAI ya da Anthropic'in meşru ve imzalı bir çalıştırılabilir dosyasını, yanında kötü amaçlı bir winmm.dll ile birlikte paketliyor. Böylece zararlı, DLL sideloading yöntemiyle yükleniyor ve bazı güvenlik araçlarından kaçabiliyor.

Check Point Research'ün raporuna göre zararlı yükleyici sonunda svchost.exe sürecine bir XMRig kripto para madencisi enjekte ediyor. Komuta ve kontrol trafiği ise Google'ın DNS-over-HTTPS hizmeti ve dosya barındırma servisleri üzerinden yürütülüyor. Erken sürümler Rusya bağlantılı klavye düzenlerini dışarıda bırakıyor ve yoğun analiz önleme kontrolleri içeriyordu; bu kontroller daha sonra kaldırıldı. İlk deponun yaklaşık 2026 Temmuz'unda oluşturulduğu, kötü amaçlı sürümlerin ise Ağustos sonunda yüklendiği düşünülüyor.

Geliştiriciler ve kuruluşlar, GitHub'daki resmi olmayan yapay zeka masaüstü kurulum dosyalarına şüpheyle yaklaşmalı. Kampanya, imzalı çalıştırılabilir dosyalara ve tanınmış ürün adlarına duyulan güvene dayanıyor.