Atacantes estão distribuindo carregadores de malware e mineradores de criptomoedas disfarçados de aplicativos de desktop de inteligência artificial (IA) para o Claude, da Anthropic, e o ChatGPT, da OpenAI, em uma campanha chamada Yoba.
A atividade envolve a criação de falsos projetos no GitHub que se apresentam como aplicativos de desktop, como GPT-5.6 Sol, GPT-6 Astra e Claude Opus, mas que, na prática, entregam uma família de malware chamada YobaLoader.
“O malware é colocado ao lado de executáveis legítimos e assinados da OpenAI e da Anthropic para que possa ser carregado indiretamente, em uma técnica comumente conhecida como DLL sideloading (carregamento lateral de biblioteca de vínculo dinâmico), que costuma ser usada para contornar proteções de segurança”, afirmou a Check Point Research em uma análise.
Para dar mais credibilidade ao projeto, os atacantes criaram páginas GitHub.io que descrevem os recursos do software. Embora a popularidade dos projetos no GitHub não seja manipulada com técnicas como redes fantasmas, há indícios de uso de táticas de envenenamento de SEO (otimização para mecanismos de busca), para que os links apareçam no topo dos resultados de pesquisa do Google.
Alguns dos links identificados das páginas no GitHub são estes:
- github[.]com/gpt-5-6/sol-free-desktop
- gpt-5-6.github[.]io
- github[.]com/gpt-5-6/gpt-5-6.github.io
- github[.]com/gpt-6-astra/gpt-6-astra.github.io
- gpt-6-astra[.]github[.]io
- github[.]com/opus-5-0/opus-5-0.github[.]io
- opus-5-0[.]github[.]io
“Cada repositório usa um endereço de e-mail diferente (edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com e rioprestonlfyx[@]outlook[.]com), e o responsável pelo envio aparenta operar nos fusos UTC+4, UTC-4 e UTC+3, respectivamente”, afirmou a Check Point. “Essa inconsistência provavelmente reflete uma tentativa deliberada de ocultar o verdadeiro fuso horário operacional do agente de ameaça.”
Hospedados nesses repositórios estão arquivos ZIP que, entre outros arquivos, contêm dois componentes específicos:
- Setup.exe, um executável legítimo e assinado do OpenAI Codex ou do Claude
- winmm.dll, uma DLL maliciosa que é carregada lateralmente pelo executável
A DLL é um dropper codinome YobaDropper, que realiza verificações de valor de checksum calculando o hash do nome base do executável hospedeiro. Se o resultado corresponder a um valor fixo no código, “0xE6C2F326”, a verificação exige que ele seja executado por meio do “Setup.exe” e falha caso a DLL seja executada isoladamente em um ambiente de sandbox.
Outras técnicas antianálise e verificações prévias incluem 200 mil iterações de “Sleep(5500)”, o que equivale a 12,73 dias, e a exclusão de máquinas cujo layout de teclado corresponda ao da Rússia, de Belarus, do Tadjiquistão, da Armênia, do Azerbaijão, da Geórgia, do Cazaquistão, do Quirguistão, do Turcomenistão e do Uzbequistão.
Outro identificador de idioma excluído do processo de infecção é o tártaro. Vale notar que a Ucrânia, que costumava ser historicamente incluída nessas verificações, não aparece mais na lista.
Já o YobaDropper aciona uma cadeia própria de sideloading de DLL, composta pelos arquivos “wmpdmc.exe” e “ampdui.dll”, ao copiar o primeiro da sua pasta “system32” e colocá-lo em um novo diretório chamado “WMProcess”, criado em “ProgramData”.
Em seguida, o dropper extrai e descriptografa uma carga útil embutida e a grava na mesma pasta como “wmpdui.dll”. Ele também garante persistência por meio de uma tarefa agendada que executa o executável legítimo para carregar a carga maliciosa.
A segunda DLL é o YobaLoader. Ele implementa a mesma técnica antisandbox do YobaDropper, exigindo que o malware seja executado apenas pelo “wmpdmc.exe”, ao verificar o hash contra um valor fixo no código (“0x552751E3”). O carregador é responsável por três tarefas principais:
- Baixa uma imagem de um canal do Telegram (“t[.]me/yoba_fanclub”).
- Usa os últimos 50 bytes como semente para gerar um domínio com base em três listas de palavras do dicionário e um valor inteiro entre 0 e 999, por meio de um algoritmo de geração de domínios (DGA). O resultado final é um domínio no formato “adjetivo-substantivo-verbo-dígito.dedyn[.]io”.
- Consulta a API de DNS sobre HTTPS (DoH) do Google para obter um comando codificado em Base64 a partir de um registro TXT (tipo de registro DNS usado para armazenar textos), passando como entrada o domínio construído.
- Descriptografa a resposta para obter o link de onde será baixada a carga útil do próximo estágio (“files.catbox[.]moe/z5zpy9.dat”).
“Ao depender de um serviço DoH e de plataformas comuns de hospedagem de arquivos, o agente busca contornar o monitoramento de DNS passivo e algumas proteções de segurança baseadas em gateways, tornando seu tráfego de comando e controle (C2) mais difícil de distinguir da atividade comum de usuários”, afirmou a Check Point.
A carga útil baixada é então injetada no “svchost.exe”, o que resulta na execução de um minerador de criptomoedas XMRig.
Há indícios de que o primeiro repositório no GitHub tenha sido criado por volta de julho de 2026, embora as versões maliciosas só tenham sido enviadas no fim de agosto. Além disso, versões iniciais do YobaLoader foram encontradas excluindo apenas a Rússia da infecção, além de incluírem extensas verificações antidepuração e antimáquinas virtuais (VM), que foram removidas nas versões mais recentes.
“A campanha Yoba mostra como atacantes podem usar plataformas confiáveis e o interesse atual por ferramentas de IA para distribuir malware de forma que pareça crível e inofensiva à primeira vista”, afirmou a Check Point. “Ao empacotar seu código com nomes de softwares conhecidos e hospedá-lo no GitHub, eles reduzem as chances de que usuários ou verificações básicas de segurança identifiquem imediatamente os arquivos como suspeitos.”
