По мере роста интереса к новым инструментам ИИ киберпреступники находят способы воспользоваться окружающим их доверием. Исследователи из Check Point Research (CPR) обнаружили Yoba — вредоносную кампанию, использующую поддельные проекты на GitHub, которые выдают себя за настольные приложения ChatGPT и Claude, при этом эксплуатируя легитимные подписанные исполняемые файлы OpenAI и Anthropic для загрузки вредоносного ПО.
Эта кампания показывает, как стремление получить доступ к новым инструментам ИИ создает возможности для социальной инженерии, даже если сами ИИ-платформы не были скомпрометированы.
Ключевые выводы
- Злоумышленники использовали поддельные проекты на GitHub, выдававшие себя за предполагаемые настольные приложения ChatGPT и Claude, для распространения вредоносного ПО Yoba.
- Легитимные подписанные исполняемые файлы OpenAI и Anthropic эксплуатировались для перехвата (sideloading) вредоносного компонента YobaDropper.
- Вредоносные проекты занимали заметные позиции в результатах поиска Google, демонстрируя активность, характерную для тактик SEO-отравления.
- Yoba использует такие сервисы, как Telegram, Google DNS-over-HTTPS и Catbox, в рамках своей цепочки связи и доставки полезной нагрузки.
- Специалисты CPR зафиксировали XMRig в качестве финальной полезной нагрузки, однако YobaLoader может доставлять и другие исполняемые файлы Windows или полезные нагрузки PowerShell.
Как вредоносная кампания Yoba атакует пользователей ИИ
Атака начинается там же, где поиски многих легитимных программ: в сети. Злоумышленники создали репозитории GitHub и сайты GitHub Pages, рекламирующие предполагаемые настольные версии новых ИИ-продуктов, используя такие названия, как «GPT-5.6 Sol», «GPT-6 Astra» и «Claude Opus». Ссылки для скачивания перенаправляли пользователей на вредоносные ZIP-файлы, размещенные в качестве релизов GitHub.
Репозитории не имели признаков искусственно накрученных звезд или форков, предназначенных для повышения их видимости на GitHub. Тем не менее, они занимали заметные позиции в поиске Google. Основываясь на их ориентированном на поиск содержимом и тактике распространения установщиков, CPR оценивает эту кампанию как соответствующую SEO-отравлению, цель которого — показывать вредоносные проекты пользователям, активно ищущим программное обеспечение с поддержкой ИИ.
Такой подход превращает спрос на новые возможности ИИ в первоначальный вектор атаки. Вместо того чтобы напрямую атаковать жертв, злоумышленники могут размещать вредоносное ПО там, где пользователи уже ищут новые инструменты, делая сам процесс поиска программ частью цепочки социальной инженерии. Для организаций это означает необходимость контролировать не только то, как сотрудники используют ИИ-инструменты, но и где они их получают.
Рисунок 1 — Кампания GPT-6 Astra, цепочка атаки.
Рисунок 2 — Репозиторий GitHub.
Как Yoba злоупотребляет подписанными бинарными файлами OpenAI и Anthropic
После скачивания пакет объединяет вредоносные компоненты Yoba с легитимным ПО. В пакеты на тему ChatGPT злоумышленники включили легитимный подписанный файл Setup.exe от OpenAI, в то время как пакет Claude использовал легитимный подписанный исполняемый файл Claude.
При запуске эти исполняемые файлы загружают вредоносный файл winmm.dll, расположенный рядом с ними, с использованием хорошо известной техники, известной как DLL sideloading (перехват DLL). Таким образом, подписанный исполняемый файл является легитимным, но сопутствующий пакет — нет.
Важно отметить, что исследование CPR не указывает на то, что ChatGPT, Claude, OpenAI или Anthropic были скомпрометированы. Вместо этого злоумышленники злоупотребляют легитимными подписанными бинарными файлами и авторитетом, связанным с этими брендами. Для специалистов по защите Yoba подчеркивает важное различие: действующая подпись может подтвердить легитимность отдельного исполняемого файла, но не каждого компонента, упакованного вместе с ним.
Рисунок 3 — Страница Claude Opus на GitHub[.]io.
Как YobaDropper реализует заражение
Yoba выполняет несколько проверок, предназначенных для усложнения автоматизированного анализа перед развертыванием второй стадии. YobaDropper проверяет, был ли он запущен ожидаемым файлом Setup.exe, вводит значительную задержку в случае сбоя этой проверки, применяет проверки регионального языка и требует прав администратора для продолжения.
После завершения этих проверок YobaDropper развертывает YobaLoader вместе с легитимным исполняемым файлом Windows и создает запланированную задачу, которая позволяет легитимному исполняемому файлу загружать YobaLoader после запуска системы.
Эти действия показывают, что Yoba создана для выхода за рамки первоначальной загрузки: она фильтрует среду выполнения, обеспечивает сохранение в системе и продолжает работу через доверенные процессы. В результате обнаружение должно учитывать то, что загружают и выполняют легитимные приложения, а не только исходный вредоносный файл.
Как Yoba использует доверенные интернет-сервисы для получения полезной нагрузки
Одна из наиболее характерных особенностей Yoba — ее подход к связи со злоумышленниками. Вместо того чтобы полагаться исключительно на выделенную инфраструктуру управления и контроля (C&C), Yoba комбинирует несколько легитимных интернет-сервисов для получения информации, необходимой для следующего этапа.
YobaLoader сначала обращается к каналу Telegram и получает изображение его профиля. Данные из этого изображения затем используются для генерации домена, что позволяет злоумышленнику изменять результирующий домен путем изменения изображения в Telegram.
Затем отправляет запрос к сервису Google DNS-over-HTTPS для получения DNS-записи TXT, связанной с этим доменом. После проверки и расшифровки ответа Yoba может получить зашифрованную полезную нагрузку из внешней инфраструктуры хостинга, такой как Catbox.
Комбинируя легитимные интернет-сервисы с динамически сгенерированными доменами, оператор снижает свою зависимость от традиционной инфраструктуры управления и контроля и усложняет задачу различения вредоносного трафика и обычной активности. Это также делает блокировку отдельного вредоносного сервера или домена менее эффективной против более масштабного механизма доставки.
Рисунок 4 — Канал Telegram.
XMRig был финальной полезной нагрузкой, но Yoba может доставлять и другие
В проанализированной CPR кампании финальной полезной нагрузкой был XMRig 6.26.0, используемый для майнинга криптовалюты. Майнер мог взаимодействовать со своей инфраструктурой через Tor и отслеживать активность пользователя, приостанавливая майнинг, пока жертва активно использовала компьютер.
Тем не менее, Yoba не следует рассматривать просто как криптомайнер. YobaLoader — это универсальный загрузчик, способный доставлять различные исполняемые файлы Windows или полезные нагрузки PowerShell, а значит, та же цепочка заражения потенциально может использоваться для распространения другого вредоносного ПО.
Это делает загрузчик более значимым, чем полезная нагрузка, обнаруженная в этой кампании. Поэтому организациям, столкнувшимся с Yoba, следует рассматривать заражение как масштабный инцидент компрометации, а не концентрироваться исключительно на обнаружении или удалении XMRig.
Что Yoba говорит о злоупотреблении ИИ-брендами
Yoba показывает, как злоумышленники могут использовать внедрение ИИ без компрометации модели или сервиса ИИ. Вместо этого они нацелены на доверие и спрос вокруг инструментов ИИ, объединяя видимость в поиске, знакомые платформы вроде GitHub, узнаваемые ИИ-бренды и легитимные подписанные исполняемые файлы, чтобы вредоносное ПО выглядело надежным.
Для организаций это расширяет рамки разговора об безопасности ИИ. Защита внедрения ИИ включает в себя не только защиту моделей, промптов и корпоративных данных, но и управление тем, как сотрудники находят, скачивают и устанавливают ИИ-приложения. По мере распространения инструментов ИИ проверка их происхождения будет становиться все более важной частью снижения рисков социальной инженерии.
Как организации могут снизить риск использования поддельных инструментов ИИ
Организации могут снизить риски, сочетая более строгий контроль программного обеспечения со средствами безопасности, которые анализируют реальные действия файлов и приложений. Это особенно актуально, так как сотрудники все чаще самостоятельно находят и внедряют инструменты ИИ.
- Проверяйте программное обеспечение ИИ в источнике. Сотрудникам следует загружать приложения через каналы, контролируемые поставщиками, а не полагаться только на результаты поиска, страницы GitHub или сторонние ссылки.
- Ограничьте использование несанкционированных приложений и права администратора. Контроль запускаемых приложений и ограничение ненужного административного доступа могут снизить вероятность закрепления непроверенного ПО с ИИ на корпоративных конечных точках.
- Проверяйте загрузки и поведение приложений. Check Point Endpoint Security включает функцию Threat Emulation для обнаружения неизвестных и скрытых атак, а защита браузера позволяет проверять вредоносные файлы из интернет-источников. Это актуально для таких кампаний, как Yoba, где исходный пакет попадает на конечную точку через загрузку.
- Выявляйте вредоносную активность за пределами исходного файла. Check Point Endpoint Security также предоставляет функции Anti-Bot, защиты от вредоносного ПО, поведенческой защиты и анализа инцидентов, обеспечивая дополнительные уровни безопасности при попытке вредоносного приложения запуститься или установить соединение с конечной точки.
- Расширьте предотвращение на всю цепочку атак. ThreatCloud AI обеспечивает анализ угроз и защиту от известного и неизвестного вредоносного ПО, активности командных центров и доменов, созданных машинным способом, что особенно важно для кампаний, сочетающих доставку вредоносного ПО с генерируемыми доменами и нетрадиционной коммуникационной инфраструктурой.
Для получения полного технического анализа ознакомьтесь с исследованием Check Point Research here.
