Hamis ChatGPT- és Claude-programokkal terjesztenek kriptobányászt a GitHubon
Valódi, aláírt OpenAI- és Anthropic-fájlok mögé rejtik a kártevőt azok a hamis MI-alkalmazások, amelyeket a Google találatai között is megtaláltak. A Check Point Research szerint a Yoba nevű kampány végül kriptobányászt indít a fertőzött gépen.
Megtévesztő projektek a keresési találatok között
A Check Point Research két hónapig követte a kampányt. A támadók a GitHubon hoztak létre olyan projekteket, amelyek asztali MI-alkalmazásnak adják ki magukat. A megtévesztő nevek között szerepel a GPT-5.6 Sol, a GPT-6 Astra és a Claude Opus.
Mindegyik projekthez tartozik egy GitHub-tároló, egy bemutatóoldal és egy letölthető ZIP-csomag. A tárolók hamis csillagok és elágaztatások nélkül is a Google előkelő találatai közé kerültek. A beszámoló szerint ezt valószínűleg a keresési helyezés befolyásolásával érték el.
Az első tároló 2026 júliusa körül jelent meg, a rosszindulatú kiadások pedig augusztus 30-án és 31-én kerültek fel. Egy harmadik szeptember 4-én követte őket.
Az aláírt program tölti be a kártevőt
A letölthető csomagokban egy-egy valódi, aláírt OpenAI- vagy Anthropic-program található Setup.exe néven. Mellette azonban ott van egy rosszindulatú winmm.dll fájl is, amelyet az aláírt program betölt.
A YobaDropper nevű kártevő ellenőrzi, hogy a Setup.exe indította-e el. Ha nem, várakozni kezd, ami megnehezíti az önmagában futtatott fájl vizsgálatát. A billentyűzetkiosztást is megnézi, és bizonyos nyelvek esetén nem folytatja a működését.
Ezután rendszergazdai jogosultságot kér. Ha megszerzi, egy másik, legitim program másolatát és a következő rosszindulatú összetevőt helyezi el a gépen. Egy Microsoft-feladatnak álcázott ütemezett feladat gondoskodik az indításáról.
Telegram-profilkép vezet a bányászprogramhoz
A második összetevő, a YobaLoader egy Telegram-csatorna profilképét tölti le, és annak adataiból képez egy internetes címet. Az ott kapott válasz alapján jut el a további letöltéshez. A Check Point szerint a Telegramra, a Torra és más szolgáltatásokra támaszkodó megoldás egyes hálózati ellenőrzések megkerülését célozza.
A vizsgált esetben a végső program az XMRig kriptobányász volt. A beszámoló szerint képes szüneteltetni a bányászatot, amikor a felhasználó aktív, majd 240 másodperc tétlenség után folytatni. A YobaLoader ugyanakkor más futtatható állományt vagy PowerShell-szkriptet is képes letölteni.
Mire figyelmeztetnek a kutatók?
A kutatók arra intik a szervezeteket, hogy legyenek óvatosak az ellenőrizetlen tárolókból származó MI-segédeszközök telepítésével. A gyanús jelek között említik a ProgramData mappában megjelenő WMPDMC.exe-másolatot, a hamis Microsoft-feladatokat és a megmagyarázhatatlanul magas processzorterhelést.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum