De fausses applications ChatGPT et Claude diffusent le malware Yoba via GitHub

Check Point, dont les analystes ont observé l’installation de logiciels de minage de cryptomonnaies sur des ordinateurs Windows, appelle la campagne Yoba. Les faux projets GitHub proposent de supposées applications de bureau « GPT-5.6 Sol », « GPT-6 Astra » et « Claude Opus ». Les attaquants les promouvaient via des pages de projets GitHub, dont certaines figuraient parmi les premiers résultats de Google, et renvoyaient vers des téléchargements ZIP hébergés dans les versions GitHub.

L’exécution du paquet lance un exécutable authentique signé, qui charge un fichier malveillant nommé winmm.dll par sideloading de DLL. La DLL malveillante, que les chercheurs appellent YobaDropper, s’arrête sans privilèges d’administrateur et exclut plusieurs langues de clavier, dont le russe et le biélorusse. Une tâche planifiée lance ensuite une copie d’un exécutable Windows qui charge YobaLoader, ce qui permet à l’infection de survivre à un redémarrage.

Selon Check Point, YobaLoader télécharge l’image de profil d’une chaîne Telegram pour générer un nom de domaine, puis interroge le service DNS-over-HTTPS de Google pour obtenir des instructions stockées dans un enregistrement DNS TXT. Les chercheurs ont observé le logiciel de minage XMRig communiquant via Tor. Le loader prend aussi en charge des charges utiles en exécutable Windows et en PowerShell.

Pourquoi c’est important Des exécutables signés par des éditeurs d’IA connus ne garantissent pas l’authenticité d’un téléchargement lorsque le paquet qui les contient ne l’est pas. Les équipes de sécurité devraient traiter les applications d’IA de bureau obtenues via des pages GitHub ou des résultats de recherche comme non fiables, restreindre l’exécution des logiciels d’éditeurs inconnus et surveiller les DLL inattendues chargées à côté d’applications signées ainsi que les tâches planifiées qui relancent des exécutables copiés. Les investigateurs peuvent utiliser les étapes décrites par Check Point, notamment l’image Telegram et l’enregistrement DNS TXT, comme indicateurs pour leurs recherches.