Hamis ChatGPT és Claude-alkalmazásokkal terjesztik a Yoba kártevőt

Hamis AI-projektek a GitHubon és a Google találatai között

A Check Point Research október 27-én ismertetett elemzése szerint a kampány üzemeltetői olyan GitHub-tárolókat és GitHub Pages-oldalakat hoztak létre, amelyek új AI-alkalmazások állítólagos asztali változatait kínálták. A projektek olyan neveket használtak, mint a „GPT-5.6 Sol”, a „GPT-6 Astra” és a „Claude Opus”.

A letöltési hivatkozások rosszindulatú ZIP-fájlokra mutattak, amelyeket GitHub-kiadásként tároltak. A kutatók nem találtak jelet arra, hogy a láthatóság növelésére mesterségesen felduzzasztották volna a projektek csillag- vagy forkszámát. A tárolók ennek ellenére előkelő helyen jelentek meg a Google keresési eredményei között.

A Check Point Research ezt a keresőoptimalizálás mérgezésével, vagyis SEO poisoninggel összhangban álló kampánynak értékeli. A módszer lényege, hogy a támadók ott jelenítik meg a kártevőt, ahol a felhasználók új AI-eszközöket keresnek. Így maga a szoftver felfedezése is a megtévesztési folyamat részévé válik.

A legitim fájl mellé kerül a rosszindulatú DLL

A letöltött csomagokban a támadók rosszindulatú összetevőket kombináltak valódi szoftverekkel. A ChatGPT-re utaló csomagok egy legitim, digitálisan aláírt OpenAI Setup.exe fájlt tartalmaztak, a Claude-csomagokban pedig egy valódi, aláírt Claude-futtatható fájl szerepelt.

Indításkor ezek a programok a mellettük elhelyezett rosszindulatú winmm.dll fájlt töltötték be. A DLL-oldalbetöltésként ismert technika miatt maga az aláírt futtatható fájl valódi, a körülötte lévő csomag azonban nem az. A kutatás nem utal arra, hogy a ChatGPT, a Claude, az OpenAI vagy az Anthropic rendszereit feltörték volna.

A YobaDropper több ellenőrzéssel nehezíti az automatikus elemzést. Vizsgálja, hogy a várt Setup.exe indította-e el, hibás eredmény esetén hosszú késleltetést alkalmaz, régióhoz kapcsolódó nyelvi ellenőrzéseket végez, és rendszergazdai jogosultságot kér. Ezután létrehozza a YobaLoadert, valamint egy ütemezett feladatot, amely a rendszer indulása után lehetővé teszi annak betöltését egy legitim Windows-folyamaton keresztül.

A Yoba több legitim internetes szolgáltatást használ

A YobaLoader a következő fázishoz szükséges adatok megszerzésére Telegramot, a Google DNS-over-HTTPS szolgáltatását és a Catboxot is használja. Először egy Telegram-csatorna profilképét tölti le, majd a képből egy domaint állít elő. A támadó a Telegram-kép cseréjével módosíthatja a létrejövő domaint.

A kártevő ezután lekérdez egy, a domainhez tartozó DNS TXT rekordot a Google DNS-over-HTTPS szolgáltatásán keresztül. A válasz ellenőrzése és visszafejtése után titkosított hasznos terhet tölthet le külső tárhelyről, például a Catboxról. A legitim szolgáltatások kombinálása megnehezítheti a rosszindulatú kommunikáció elkülönítését a szokásos hálózati forgalomtól.

A Check Point által vizsgált kampány végső hasznos terhe az XMRig 6.26.0 volt, amely kriptovaluta-bányászatra szolgált. A YobaLoader azonban általános betöltő, ezért más Windows-futtatható fájlokat vagy PowerShell-hasznos terheket is képes továbbítani. A szervezeteknek ezért a fertőzést szélesebb körű kompromittálásként kell kezelniük, nem kizárólag az XMRig eltávolítására összpontosítva.

A Check Point szerint a kockázat csökkentéséhez a munkatársaknak a szoftvereket a gyártók által ellenőrzött csatornákból kell beszerezniük. Az engedély nélküli alkalmazások és a szükségtelen rendszergazdai jogosultságok korlátozása, valamint a letöltött fájlok és az alkalmazások viselkedésének vizsgálata szintén mérsékelheti a hasonló támadások hatását.