Злоумышленники используют подписанные бинарники ChatGPT и Claude для распространения вредоносного ПО

Атакующие используют подписанные бинарники ChatGPT и Claude для распространения вредоносного ПО

Исследователи Check Point Research выявили кампанию Yoba, в рамках которой злоумышленники эксплуатируют популярность ИИ-инструментов, таких как ChatGPT и Claude. Они создают поддельные проекты на GitHub, маскирующиеся под десктопные приложения GPT-5.6 Sol, GPT-6 Astra и Claude Opus. Вредоносное ПО размещается рядом с легитимными подписанными исполняемыми файлами от OpenAI и Anthropic. Это позволяет загружать вредоносный код косвенно, используя технику DLL sideloading для обхода защитных механизмов.

Злоумышленники избегают выделенной инфраструктуры командно-контроля

Кампания Yoba демонстрирует высокий уровень операционной безопасности. Атакующие не используют выделенную инфраструктуру командно-контроля (C2). Вместо этого они полагаются на Telegram, Tor, Catbox и DNS over HTTPS (DoH). Эти сервисы позволяют скрывать свою активность и затруднять отслеживание. Указывается, что злоумышленник, стоящий за кампанией, имеет признаки российского происхождения и действует преимущественно в часовом поясе UTC-4.

Жертв заманивают на поддельные проекты на GitHub

Первоначальный доступ осуществляется через вредоносные репозитории на GitHub. Проекты имитируют модели, связанные с ChatGPT и Claude, в частности GPT-5.6 Sol, GPT-6 Astra и Claude Opus. Для описания возможностей программ используются страницы GitHub.io. Вредоносное ПО размещается в разделах релизов. Фишинговые посадочные страницы содержат ссылки на загрузку вредоносных ZIP-архивов, размещенных на GitHub. Репозитории не демонстрируют признаков накрученной активности, такой как искусственное увеличение звезд или форков. Тем не менее, они появляются в топ-результатах поиска Google благодаря SEO-оптимизации. Атакующие используют разные адреса электронной почты и часовые пояса для сокрытия своей истинной локации.

Вредоносное ПО использует DLL sideloading и обходит защиту

Внутри установщиков находится вредоносный компонент YobaDropper (winmm.dll). Этот дроппер загружает другой компонент, YobaLoader (wmpdui.dll), который связывается с инфраструктурой злоумышленников и получает финальную полезную нагрузку. YobaDropper подменяет собой легитимную библиотеку winmm.dll. Он содержит 180 экспортных имен, но код присутствует только в DllEntryPoint. Реализуется техника анти-песочницы: вредоносное ПО хеширует базовое имя хост-исполняемого файла и сравнивает его с заданным значением. Проверка не завершает процесс, но вызывает длительную задержку. Проверяется раскладка клавиатуры пользователя на принадлежность к странам СНГ, с исключением Украины. Также динамически разрешаются функции Windows API с использованием алгоритма DJB2. Перед развертыванием полезной нагрузки проверяется наличие прав администратора. Если их нет, пользователю выводится сообщение с требованием перезапустить программу с повышенными привилегиями.

YobaLoader поддерживает персистентность и продолжает обход защиты

YobaLoader содержит тот же код, что и дроппер. Он также проверяет хеш имени процесса, ожидая запуска через легитимный исполняемый файл WMPDMC.exe. Для разрешения функций Windows API используется тот же алгоритм DJB2, но с другим начальным значением. Дроппер создает каталог в ProgramData, копирует туда WMPDMC.exe, расшифровывает полезную нагрузку с ключом IRANNUMBERONE и сохраняет ее как wmpdui.dll. Персистентность достигается через планировщик задач, который запускает легитимный исполняемый файл, загружающий вредоносный DLL. Задача маскируется под сбор метаданных для Windows Media Player и запускается с правами SYSTEM.

Обновиться до актуальных версий и использовать средства защиты

Check Point Research рекомендует пользователям проявлять осторожность при загрузке программного обеспечения из непроверенных источников, особенно если оно связано с популярными ИИ-инструментами. Необходимо использовать надежное антивирусное программное обеспечение и регулярно обновлять операционную систему и установленные приложения. Для защиты от DLL sideloading рекомендуется применять решения, которые контролируют загрузку библиотек и проверяют их целостность. Пользователям следует избегать запуска программ с правами администратора без крайней необходимости.