Malwarecampagne gebruikt nep-ChatGPT en Claude apps met legitiem ondertekende bestanden om Windows-systemen te infecteren via DLL sideloading.
Cybercriminelen verspreiden malware via nepversies van ChatGPT en Claude desktopapplicaties, waarbij ze gebruikmaken van legitiem ondertekende uitvoerbare bestanden van OpenAI en Anthropic. Deze methode stelt hen in staat om kwaadaardige code op Windows-systemen van slachtoffers te laden, zo meldt Check Point Research.
De campagne, die door Check Point wordt gevolgd onder de naam Yoba, maakt gebruik van valse GitHub-repositories en websites die zogenaamd AI-toepassingen promoten, zoals “GPT-5.6 Sol,” “GPT-6 Astra” en “Claude Opus.” Deze projecten zien er overtuigend uit en maken gebruik van echte GitHub-infrastructuur, waardoor ze voor potentiële slachtoffers betrouwbaar lijken. De websites bevatten zoekmachinegerichte inhoud en verdachte installatiemethoden die passen bij SEO-poisoning, aldus Check Point in hun blogpost.
De installers bevatten een combinatie van echte, ondertekende uitvoerbare bestanden en kwaadaardige bestanden die DLL sideloading benutten. Dit is een techniek waarbij een legitieme applicatie een kwaadaardige dynamic-link library laadt. Als eindpayload werd de cryptominer XMRig waargenomen, maar de loader kan ook andere Windows-executables of PowerShell-scripts downloaden, waardoor de impact verder kan reiken dan alleen cryptomining. Check Point waarschuwt dat toekomstige golven mogelijk andere malwarefamilies kunnen verspreiden.
De nep-projecten kregen geen kunstmatig opgeblazen populariteit via sterren of forks, maar stonden desalniettemin hoog in Google-zoekresultaten, wat wordt toegeschreven aan SEO-poisoning. Kwaadaardige releases werden geüpload op 30 en 31 augustus en 4 september, volgens commitgegevens.
De gedownloade pakketten bevatten een legitiem ondertekend Setup.exe-bestand van OpenAI of Anthropic, samen met een kwaadaardig bestand genaamd winmm.dll. Bij het uitvoeren van de Setup.exe wordt de kwaadaardige DLL geladen, die door Check Point YobaDropper wordt genoemd. Deze dropper wacht ongeveer twaalf dagen voordat hij actief wordt, tenzij hij wordt gestart door een proces met de naam Setup.exe. Systemen met toetsenbordindelingen uit Rusland, Wit-Rusland, Kazachstan en andere CIS-landen worden overgeslagen. De dropper vraagt om administratorrechten en kopieert vervolgens een legitieme Windows Media Player binary naar de ProgramData-map, waar een tweede kwaadaardige DLL naast wordt geplaatst. Daarna wordt een geplande taak aangemaakt die draait als Local System en Microsoft Corporation als auteur vermeldt, en die drie minuten na het opstarten van het systeem wordt uitgevoerd.
Volgens Yash Kadakia, oprichter en CTO van Security Brigade, toont deze campagne de beperkingen van het vertrouwen op digitale handtekeningen alleen. Een geldige digitale handtekening bevestigt de authenticiteit en integriteit van een specifiek uitvoerbaar bestand, maar garandeert niet dat alle geladen componenten of het bijbehorende pakket betrouwbaar zijn. Een ondertekend uitvoerbaar bestand is niet hetzelfde als een vertrouwde uitvoeringketen.
Na het vestigen van persistentie communiceert het tweede stadium, YobaLoader, met door aanvallers gecontroleerde infrastructuur om instructies te ontvangen en een payload te downloaden. De loader maakt gebruik van een Telegram-kanaal en een afbeelding om een domeinnaam te genereren, waarna hij via Google's DNS-over-HTTPS-service versleutelde instructies uit een DNS TXT-record opvraagt. Vervolgens wordt een versleutelde payload opgehaald van de Catbox-bestandshostingdienst. In de geobserveerde aanvallen betrof de payload de XMRig cryptominer, die verkeer via Tor leidt en pauzeert wanneer de gebruiker actief is.
Hoewel aanwijzingen wijzen op Russische oorsprong, is er geen specifieke groep genoemd. Het gebruik van gangbare online diensten maakt detectie lastiger, omdat elke verbinding op zichzelf legitiem lijkt, aldus Kadakia.
