Aplikacionet e rreme ChatGPT dhe Claude instalojnë XMRig crypto miner
Aplikacionet e rreme ChatGPT dhe mjetet e falsifikuara Claude për desktop po përdoren për të instaluar një XMRig cryptocurrency miner përmes një fushate malware të quajtur Yoba. Sipas Check Point Research, sulmuesit krijuan projekte në GitHub që reklamonin aplikacione të supozuara me emrat GPT-5.6 Sol, GPT-6 Astra dhe Claude Opus. Në vend të tyre, shkarkimet përmbajnë YobaLoader, softuer keqdashës që në fund ekzekuton një miner, i cili përdor burimet e kompjuterit të infektuar për të gjeneruar kriptomonedha.
Paketat vendosin një Dynamic Link Library (DLL) keqdashës, një skedar që përmban kod të cilin mund ta ngarkojë një program tjetër Windows, pranë skedarëve executable të ligjshëm dhe të nënshkruar që lidhen me OpenAI Codex ose Claude. Arkivi përfshin një skedar të nënshkruar të quajtur Setup.exe dhe një skedar keqdashës të quajtur winmm.dll. Kur ekzekutohet Setup.exe, Windows ngarkon DLL-në pranë tij përmes DLL sideloading, një teknikë që abuzon me mënyrën se si një aplikacion i ligjshëm kërkon skedarët mbështetës. Kjo lejon që kodi keqdashës të nisë në mënyrë të tërthortë nën një executable të besuar, duke bërë potencialisht që paketa t'u duket më pak e dyshimtë përdoruesve dhe disa kontrolleve të sigurisë. Prania e një executable të nënshkruar nuk i bën të sigurt skedarët e tjerë të përfshirë bashkë me të.
Sulmuesit krijuan gjithashtu faqe GitHub.io që përshkruanin softuerin e supozuar, duke u dhënë projekteve një prani publike më bindëse. Check Point gjeti shenja të SEO poisoning, praktikë e manipulimit të dukshmërisë në kërkim në mënyrë që faqet keqdashëse të shfaqen në pozicione të dukshme në rezultatet e kërkimit. Nuk u gjetën prova se ishin përdorur rrjete llogarish të rreme për të rritur artificialisht popullaritetin e repository-ve. Vendndodhjet e identifikuara përfshinin github[.]com/gpt-5-6/sol-free-desktop, gpt-5-6.github[.]io, github[.]com/gpt-5-6/gpt-5-6.github.io, github[.]com/gpt-6-astra/gpt-6-astra.github.io, gpt-6-astra[.]github[.]io, github[.]com/opus-5-0/opus-5-0.github[.]io dhe opus-5-0[.]github[.]io.
Çdo repository përdorte një adresë të veçantë Outlook: edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com dhe rioprestonlfyx[@]outlook[.]com. Check Point tha se aktiviteti i ngarkimit dukej se vinte përkatësisht nga UTC+4, UTC-4 dhe UTC+3. Studiuesit vlerësuan se mospërputhja e zonave kohore ka të ngjarë të ishte një përpjekje për të fshehur vendndodhjen e vërtetë të punës së operatorit.
DLL-ja e parë keqdashëse, të cilën Check Point e quan YobaDropper, kryen kontrolle që synojnë të pengojnë analizën e automatizuar. Ajo llogarit hash-in e emrit të executable që e nisi dhe e krahason rezultatin me vlerën hard-coded 0xE6C2F326. Emri i kërkuar është Setup.exe, ndaj nisja e DLL-së më vete brenda një sandbox, një mjedis i izoluar që përdoret për të inspektuar skedarë të dyshimtë, bën që ajo të ndalojë. Ajo kryen gjithashtu 200,000 përsëritje të Sleep(5500), që arrijnë në gjithsej 12.73 ditë, dhe shmang sistemet që përdorin paraqitje tastiere të lidhura me Rusinë, Bjellorusinë, Taxhikistanin, Armeninë, Azerbajxhanin, Gjeorgjinë, Kazakistanin, Kirgistanin, Turkmenistanin dhe Uzbekistanin. Përjashtohet gjithashtu tatarishtja, ndërsa Ukraina mungon dukshëm nga lista.
Më pas, YobaDropper nis një tjetër sekuencë DLL sideloading që përfshin wmpdmc.exe dhe ampdui.dll. Ai kopjon wmpdmc.exe nga dosja system32 e Windows në një direktori të re WMProcess nën ProgramData. Dropper nxjerr dhe dekripton një payload të integruar dhe e shkruan në atë dosje si wmpdui.dll. Ai vendos persistence, domethënë një mënyrë për t'u rinisur pas instalimit fillestar, përmes një scheduled task që nis executable e ligjshëm dhe bën që ai të ngarkojë payload-in keqdashës.
Komponenti i dytë është YobaLoader. Ai përsërit kontrollin e host name, duke kërkuar ekzekutimin nga wmpdmc.exe dhe duke e krahasuar hash-in e tij me 0x552751E3. Loader shkarkon një imazh nga kanali Telegram t[.]me/yoba_fanclub dhe përdor 50 byte-t e tij të fundit si input për një domain generation algorithm (DGA), një metodë që krijon automatikisht adresa interneti të ndryshueshme. Ai ndërthur fjalë nga tre fjalorë me një numër nga 0 deri në 999, duke prodhuar një adresë sipas modelit adjective-noun-verb-digit.dedyn[.]io.
YobaLoader ia dërgon adresën e gjeneruar shërbimit DNS over HTTPS (DoH) të Google. DoH i përcjell kërkimet e Domain Name System përmes trafikut web të enkriptuar, ndërsa DNS zakonisht lidh emrat e domain-eve me informacionin e internetit. Malware kërkon një DNS TXT record dhe merr një komandë Base64-encoded, një mënyrë për t'i paraqitur të dhënat si tekst. Pas dekodimit dhe dekriptimit të përgjigjes, ai merr adresën files.catbox[.]moe/z5zpy9.dat për payload-in e radhës. Check Point tha se ndërthurja e DNS së enkriptuar me platformat e zakonshme të hosting synonte ta bënte trafikun e komandave më pak të dukshëm për monitorimin pasiv të DNS dhe më të vështirë për t'u dalluar nga aktiviteti i zakonshëm prej mbrojtjeve të gateway.
Payload-i i shkarkuar injektohet në svchost.exe, që do të thotë se kodi i tij ekzekutohet brenda një procesi tjetër Windows, dhe nis XMRig miner. Check Point gjeti prova se repository i parë në GitHub u shfaq rreth korrikut 2026, megjithëse release-t keqdashëse nuk u shtuan deri në fund të gushtit. Versionet e mëparshme të YobaLoader përjashtonin vetëm Rusinë dhe përfshinin kontrolle të shumta për debugger dhe virtual machine, të cilat analistët i përdorin për të ekzaminuar softuerin. Këto kontrolle u hoqën nga versionet më të reja.
Për pronarët e faqeve dhe ekipet e IT-së, fushata tregon arsyen pse softueri i marrë nga rezultatet e kërkimit dhe repository-t publike duhet të verifikohet kundrejt kanalit zyrtar të shpërndarjes së zhvilluesit përpara se të ekzekutohet. Për organizatat që vlerësojnë këtë lloj rreziku të softuerit dhe infrastrukturës, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë. Një faqe projekti e realizuar mirë, një emër i njohur produkti dhe një executable i nënshkruar siç duhet nuk vërtetojnë se i gjithë arkivi i shkarkuar është i besueshëm.