Kwaadwillenden verspreiden malware via nep AI-desktopapps die legitieme ondertekende bestanden misbruiken om cryptominingsoftware te installeren.
Cybercriminelen verspreiden kwaadaardige loaders en cryptominingsoftware via nep-desktopapplicaties die zogenaamd gebaseerd zijn op AI-modellen van Anthropic Claude en OpenAI ChatGPT. Deze campagne, bekend onder de naam Yoba, maakt gebruik van valse GitHub-projecten die beweren desktopapps te zijn zoals GPT-5.6 Sol, GPT-6 Astra en Claude Opus, maar in werkelijkheid de malwarefamilie YobaLoader verspreiden.
De malware wordt naast legitieme, ondertekende uitvoerbare bestanden van OpenAI en Anthropic geplaatst, waardoor deze indirect geladen kan worden via een techniek die bekendstaat als DLL sideloading. Deze methode wordt vaak ingezet om beveiligingsmaatregelen te omzeilen, aldus Check Point Research. Om de geloofwaardigheid van de projecten te vergroten, zijn er GitHub.io-pagina’s opgezet die de functionaliteiten van de software beschrijven. Hoewel de populariteit van deze projecten niet kunstmatig wordt opgevoerd, wijzen aanwijzingen op het gebruik van SEO-poisoning om de links hoog in Google-zoekresultaten te laten verschijnen.
De repositories bevatten ZIP-bestanden met onder andere twee belangrijke componenten: Setup.exe, een legitiem ondertekend OpenAI Codex- of Claude-uitvoerbaar bestand, en winmm.dll, een kwaadaardige DLL die via sideloading wordt ingeladen. Deze DLL, genaamd YobaDropper, voert een checksumcontrole uit op de host-executable en werkt alleen als deze wordt gestart via Setup.exe, waardoor analyse in sandboxomgevingen wordt bemoeilijkt. Daarnaast bevat de malware anti-analysetechnieken zoals een vertraging van 12,73 dagen en het vermijden van infectie op systemen met toetsenbordindelingen uit Rusland, Belarus, Armenië en andere landen in de regio, evenals Tatar toetsenbordindelingen. Opvallend is dat Oekraïne niet meer wordt uitgesloten, in tegenstelling tot eerdere campagnes.
YobaDropper start een eigen DLL-sideloadingketen met de bestanden wmpdmc.exe en ampdui.dll. Het bestand wmpdmc.exe wordt gekopieerd vanuit de "system32"-map, conform de werkwijze beschreven in Microsoft-documentatie, en geplaatst in een nieuwe map genaamd WMProcess onder ProgramData. Vervolgens wordt een ingesloten payload ontsleuteld en gedropt in dezelfde map als wmpdui.dll. Persistente aanwezigheid wordt verzekerd via een geplande taak die het legitieme uitvoerbare bestand start om de kwaadaardige payload te laden.
De tweede DLL, YobaLoader, voert vergelijkbare anti-sandboxcontroles uit en werkt alleen als deze wordt gestart door wmpdmc.exe. Deze loader downloadt een afbeelding van een Telegram-kanaal en gebruikt de laatste 50 bytes om een domeinnaam te genereren via een domeingeneratie-algoritme (DGA). Vervolgens wordt via Google's DNS-over-HTTPS API een Base64-gecodeerd commando opgehaald uit een DNS TXT-record, waarmee verdere instructies worden uitgevoerd.
