App false di ChatGPT e Claude installano il crypto miner XMRig
App false di ChatGPT e strumenti desktop contraffatti di Claude vengono utilizzati per installare un cryptocurrency miner XMRig attraverso una campagna malware chiamata Yoba. Secondo Check Point Research, gli attaccanti hanno creato progetti GitHub che pubblicizzavano presunte applicazioni denominate GPT-5.6 Sol, GPT-6 Astra e Claude Opus. I download contengono invece YobaLoader, un software malevolo che alla fine esegue un miner, il quale utilizza le risorse del computer infetto per generare criptovaluta.
I pacchetti collocano una Dynamic Link Library (DLL) malevola, un file contenente codice che può essere caricato da un altro programma Windows, accanto a executable legittimi e firmati associati a OpenAI Codex o Claude. L'archivio include un file firmato chiamato Setup.exe e un file ostile chiamato winmm.dll. Quando Setup.exe viene eseguito, Windows carica la DLL presente nella stessa posizione tramite DLL sideloading, una tecnica che sfrutta il modo in cui un'applicazione legittima cerca i file di supporto. Ciò consente al codice malevolo di avviarsi indirettamente attraverso un executable attendibile, facendo potenzialmente apparire il pacchetto meno sospetto agli utenti e ad alcuni controlli di sicurezza. La presenza di un executable firmato non rende sicuri gli altri file inclusi nello stesso pacchetto.
Gli attaccanti hanno inoltre creato pagine GitHub.io che descrivevano il presunto software, conferendo ai progetti una presenza pubblica più convincente. Check Point ha trovato indizi di SEO poisoning, la pratica di manipolare la visibilità sui motori di ricerca affinché le pagine malevole compaiano in posizioni di rilievo nei risultati. Non ha invece trovato prove dell'uso di reti di account falsi per aumentare artificialmente la popolarità dei repository. Le posizioni identificate includevano github[.]com/gpt-5-6/sol-free-desktop, gpt-5-6.github[.]io, github[.]com/gpt-5-6/gpt-5-6.github.io, github[.]com/gpt-6-astra/gpt-6-astra.github.io, gpt-6-astra[.]github[.]io, github[.]com/opus-5-0/opus-5-0.github[.]io e opus-5-0[.]github[.]io.
Ogni repository utilizzava un indirizzo Outlook distinto: edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com e rioprestonlfyx[@]outlook[.]com. Check Point ha dichiarato che l'attività di upload sembrava provenire rispettivamente dai fusi orari UTC+4, UTC-4 e UTC+3. I ricercatori hanno valutato i fusi orari incoerenti come un probabile tentativo di nascondere l'effettiva posizione di lavoro dell'operatore.
La prima DLL malevola, che Check Point chiama YobaDropper, esegue controlli concepiti per ostacolare l'analisi automatizzata. Calcola l'hash del nome dell'executable che l'ha avviata e confronta il risultato con il valore hard-coded 0xE6C2F326. Il nome richiesto è Setup.exe, quindi l'avvio della DLL da sola all'interno di una sandbox, un ambiente isolato utilizzato per esaminare file sospetti, ne provoca l'arresto. Esegue inoltre 200.000 iterazioni di Sleep(5500), equivalenti a 12,73 giorni, ed evita i sistemi che utilizzano layout di tastiera associati a Russia, Bielorussia, Tagikistan, Armenia, Azerbaigian, Georgia, Kazakistan, Kirghizistan, Turkmenistan e Uzbekistan. Anche il tataro è escluso, mentre l'Ucraina è significativamente assente dall'elenco.
YobaDropper avvia quindi un'altra sequenza di DLL sideloading che coinvolge wmpdmc.exe e ampdui.dll. Copia wmpdmc.exe dalla cartella system32 di Windows in una nuova directory WMProcess all'interno di ProgramData. Il dropper estrae e decripta un payload incorporato e lo scrive in tale cartella con il nome wmpdui.dll. Stabilisce la persistence, cioè un meccanismo che consente il riavvio dopo l'installazione originale, tramite una scheduled task che avvia l'executable legittimo e gli fa caricare il payload malevolo.
Il secondo componente è YobaLoader. Ripete il controllo del nome dell'host, richiedendo l'esecuzione da parte di wmpdmc.exe e confrontandone l'hash con 0x552751E3. Il loader scarica un'immagine dal canale Telegram t[.]me/yoba_fanclub e utilizza gli ultimi 50 byte come input per un domain generation algorithm (DGA), un metodo che crea automaticamente indirizzi internet variabili. Combina parole provenienti da tre dizionari con un numero compreso tra 0 e 999, generando un indirizzo secondo lo schema adjective-noun-verb-digit.dedyn[.]io.
YobaLoader invia l'indirizzo generato al servizio DNS over HTTPS (DoH) di Google. DoH trasporta le richieste del Domain Name System attraverso traffico web cifrato, mentre normalmente il DNS collega i nomi di dominio alle informazioni internet. Il malware richiede un DNS TXT record e riceve un comando Base64-encoded, un modo per rappresentare i dati come testo. Dopo aver decodificato e decriptato la risposta, ottiene l'indirizzo files.catbox[.]moe/z5zpy9.dat per il payload successivo. Check Point ha dichiarato che la combinazione di DNS cifrato e piattaforme di hosting comuni era concepita per rendere il traffico di comando meno visibile al monitoraggio DNS passivo e più difficile da distinguere dalla normale attività per le protezioni del gateway.
Il payload scaricato viene iniettato in svchost.exe, il che significa che il suo codice viene eseguito all'interno di un altro processo Windows, e avvia il miner XMRig. Check Point ha trovato prove del fatto che il primo repository GitHub sia apparso intorno a luglio 2026, sebbene le release malevole non siano state aggiunte fino alla fine di agosto. Le versioni precedenti di YobaLoader escludevano soltanto la Russia e includevano controlli approfonditi per debugger e virtual machine, strumenti utilizzati dagli analisti per esaminare il software. Tali controlli sono stati rimossi dalle versioni più recenti.
Per i proprietari di siti e i team IT, la campagna dimostra perché il software ottenuto attraverso risultati di ricerca e repository pubblici debba essere verificato rispetto al canale di distribuzione ufficiale dello sviluppatore prima di essere eseguito. Per le organizzazioni che valutano questo tipo di rischio legato al software e all'infrastruttura, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati prioritariamente sulla sicurezza. Una pagina di progetto dall'aspetto professionale, il nome di un prodotto noto e un executable correttamente firmato non dimostrano che un intero archivio scaricato sia affidabile.