Gefälschte ChatGPT- und Claude-Apps installieren XMRig cryptocurrency miner
Gefälschte ChatGPT-Apps und nachgeahmte Claude-Desktop-Tools werden in einer Yoba genannten Malware-Kampagne eingesetzt, um einen XMRig cryptocurrency miner zu installieren. Laut Check Point Research erstellten Angreifer GitHub-Projekte, die angebliche Anwendungen mit den Namen GPT-5.6 Sol, GPT-6 Astra und Claude Opus bewarben. Die Downloads enthalten stattdessen YobaLoader, eine Schadsoftware, die letztlich einen miner ausführt, der die Ressourcen eines infizierten Computers nutzt, um Kryptowährung zu erzeugen.
Die Pakete platzieren eine schädliche Dynamic Link Library (DLL), also eine Datei mit Code, den ein anderes Windows-Programm laden kann, neben legitimen signed executables, die mit OpenAI Codex oder Claude in Verbindung stehen. Das Archiv enthält eine signed file namens Setup.exe und eine schädliche Datei namens winmm.dll. Wenn Setup.exe ausgeführt wird, lädt Windows die danebenliegende DLL mittels DLL sideloading, einer Technik, die ausnutzt, wie eine legitime Anwendung nach unterstützenden Dateien sucht. Dadurch kann der schädliche Code indirekt unter einem vertrauenswürdigen executable gestartet werden, sodass das Paket Nutzern und manchen Sicherheitsprüfungen möglicherweise weniger verdächtig erscheint. Das Vorhandensein eines signed executable bedeutet nicht, dass die übrigen damit gebündelten Dateien sicher sind.
Die Angreifer erstellten außerdem GitHub.io-Seiten, auf denen die angebliche Software beschrieben wurde, wodurch die Projekte öffentlich glaubwürdiger wirkten. Check Point fand Hinweise auf SEO poisoning, also die Manipulation der Sichtbarkeit in Suchmaschinen, damit schädliche Seiten prominent in den Suchergebnissen erscheinen. Es wurden keine Belege dafür gefunden, dass Netzwerke gefälschter Konten genutzt wurden, um die Popularität der repositories künstlich zu steigern. Zu den identifizierten Adressen gehörten github[.]com/gpt-5-6/sol-free-desktop, gpt-5-6.github[.]io, github[.]com/gpt-5-6/gpt-5-6.github.io, github[.]com/gpt-6-astra/gpt-6-astra.github.io, gpt-6-astra[.]github[.]io, github[.]com/opus-5-0/opus-5-0.github[.]io und opus-5-0[.]github[.]io.
Jedes repository nutzte eine eigene Outlook-Adresse: edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com und rioprestonlfyx[@]outlook[.]com. Check Point erklärte, die Upload-Aktivitäten schienen jeweils aus UTC+4, UTC-4 und UTC+3 zu stammen. Die Forscher bewerteten die widersprüchlichen Zeitzonen als wahrscheinlichen Versuch, den tatsächlichen Arbeitsort des Betreibers zu verschleiern.
Die erste schädliche DLL, die Check Point als YobaDropper bezeichnet, führt Prüfungen durch, die automatisierte Analysen erschweren sollen. Sie bildet einen hash des Namens des executable, von dem sie gestartet wurde, und vergleicht das Ergebnis mit dem fest codierten Wert 0xE6C2F326. Der erforderliche Name lautet Setup.exe; wird die DLL daher allein in einer sandbox gestartet, einer isolierten Umgebung zur Untersuchung verdächtiger Dateien, beendet sie sich. Außerdem führt sie 200.000 Iterationen von Sleep(5500) durch, was insgesamt 12,73 Tagen entspricht, und meidet Systeme mit Tastaturlayouts, die Russland, Belarus, Tadschikistan, Armenien, Aserbaidschan, Georgien, Kasachstan, Kirgisistan, Turkmenistan und Usbekistan zugeordnet sind. Tatarisch ist ebenfalls ausgeschlossen, während die Ukraine auffälligerweise nicht auf der Liste steht.
YobaDropper startet anschließend eine weitere DLL sideloading-Sequenz mit wmpdmc.exe und ampdui.dll. Er kopiert wmpdmc.exe aus dem Windows-Ordner system32 in ein neues Verzeichnis namens WMProcess unter ProgramData. Der dropper extrahiert und entschlüsselt einen eingebetteten payload und schreibt ihn als wmpdui.dll in diesen Ordner. Er richtet persistence ein, also eine Möglichkeit zum erneuten Start nach der ursprünglichen Installation, und verwendet dafür einen scheduled task, der das legitime executable startet und dafür sorgt, dass es den schädlichen payload lädt.
Diese zweite Komponente ist YobaLoader. Sie wiederholt die Prüfung des host name, verlangt eine Ausführung durch wmpdmc.exe und vergleicht dessen hash mit 0x552751E3. Der loader lädt ein Bild aus dem Telegram-Kanal t[.]me/yoba_fanclub herunter und verwendet dessen letzte 50 Bytes als Eingabe für einen domain generation algorithm (DGA), eine Methode, die automatisch wechselnde Internetadressen erzeugt. Er kombiniert Wörter aus drei Wörterbüchern mit einer Zahl zwischen 0 und 999 und erzeugt so eine Adresse nach dem Muster adjective-noun-verb-digit.dedyn[.]io.
YobaLoader übermittelt diese generierte Adresse an Googles DNS over HTTPS (DoH)-Dienst. DoH überträgt Anfragen an das Domain Name System über verschlüsselten Webverkehr, während DNS normalerweise Domainnamen mit Internetinformationen verknüpft. Die Malware fordert einen DNS TXT record an und erhält einen Base64-encoded Befehl, also Daten, die als Text dargestellt werden. Nach dem Decodieren und Entschlüsseln der Antwort erhält sie für den nächsten payload die Adresse files.catbox[.]moe/z5zpy9.dat. Check Point erklärte, die Kombination aus verschlüsseltem DNS und gängigen Hosting-Plattformen solle den command traffic für passive DNS-Überwachung weniger sichtbar machen und es gateway protections erschweren, ihn von gewöhnlicher Aktivität zu unterscheiden.
Der heruntergeladene payload wird in svchost.exe injiziert, das heißt, sein Code wird innerhalb eines anderen Windows-Prozesses ausgeführt, und startet den XMRig miner. Check Point fand Hinweise darauf, dass das erste GitHub-repository etwa im Juli 2026 erschien, obwohl schädliche releases erst Ende August hinzugefügt wurden. Frühere Versionen von YobaLoader schlossen nur Russland aus und enthielten umfangreiche Prüfungen auf debugger und virtual machines, die Analysten zur Untersuchung von Software verwenden. Diese Prüfungen wurden aus neueren Versionen entfernt.
Für Websitebetreiber und IT-Teams zeigt die Kampagne, warum Software aus Suchergebnissen und öffentlichen repositories vor ihrer Ausführung mit dem offiziellen distribution channel des Entwicklers abgeglichen werden sollte. Für Organisationen, die solche Software- und Infrastrukturrisiken bewerten, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung. Eine professionell gestaltete Projektseite, ein vertrauter Produktname und ein korrekt signiertes executable belegen nicht, dass ein vollständiges Download-Archiv vertrauenswürdig ist.