Uma campanha monitorada como Yoba explora o interesse em IA generativa para distribuir malware de mineração de criptomoedas por meio de projetos falsos no GitHub.
A Check Point Research publicou suas descobertas em 27 de outubro de 2026, após cerca de dois meses de monitoramento.
Os operadores combinam executáveis legítimos e assinados da OpenAI e da Anthropic com uma DLL (biblioteca de vínculo dinâmico) maliciosa chamada winmm.dll, de modo que a carga útil é carregada por meio de DLL sideloading (carregamento lateral de DLL, técnica em que uma biblioteca maliciosa é carregada por um programa legítimo).
O primeiro repositório data de meados de julho de 2026. Versões compactadas maliciosas em ZIP apareceram em 30 de agosto, 31 de agosto e 4 de setembro.
Estrelas e forks (bifurcações de projetos) não mostravam sinais de manipulação, mas as páginas ficaram bem posicionadas nos resultados do Google, o que a Check Point atribui a um esquema de envenenamento de SEO (otimização para mecanismos de busca). Os arquivos ZIP não eram protegidos por senha, porque as taxas de detecção já eram baixas.
Cada arquivo contém um Setup.exe genuíno e assinado, além da winmm.dll maliciosa, chamada YobaDropper. A DLL imita a biblioteca multimídia do Windows com 180 exports (funções exportadas) que contêm apenas instruções de retorno.
Toda a lógica real está no ponto de entrada. O dropper calcula o hash do nome do processo hospedeiro com o algoritmo DJB2 (função de hash) e espera que o processo seja o Setup.exe. Se a verificação falhar, ele executa 200.000 pausas de 5,5 segundos cada, cerca de 12,7 dias, o que burla sandboxes (ambientes isolados de análise).
Ele também lê o layout do teclado e ignora sistemas da Rússia e de outros países da CEI (Comunidade dos Estados Independentes), com a Ucrânia explicitamente excluída da lista. Por fim, exige direitos de administrador.
O dropper cria a pasta C:\ProgramData\WMProcess e copia para ela o binário do Windows WMPDMC.exe. Em seguida, descriptografa a carga útil embutida com uma rotina XOR e a grava como wmpdui.dll.
Uma tarefa agendada executada com a conta Local System inicia a cópia três minutos após a inicialização do sistema. A tarefa declara a Microsoft Corporation como autora e traz a descrição de Windows Media Player. Depois, o WMPDMC.exe carrega por sideloading a wmpdui.dll, que é o YobaLoader.
Pesquisadores da Polyswarm afirmaram que os invasores criaram repositórios e sites no GitHub Pages que anunciavam aplicativos de desktop chamados GPT-5.6 Sol, GPT-6 Astra e Claude Opus.
Malware YobaLoader
A campanha evita servidores C2 (de comando e controle) dedicados. O YobaLoader busca a imagem de perfil do canal do Telegram t[.]me/yoba_fanclub.
Ele usa os últimos 50 bytes da imagem como entrada de um DGA (algoritmo de geração de domínios), montado a partir de listas de adjetivos, substantivos, verbos e números, que produz nomes de domínio sob dedyn[.]io.
Ao trocar a foto do canal, muda-se o domínio, e o operador pode redirecionar o malware sem alterar o binário.
Em seguida, o loader consulta o resolvedor DoH (DNS sobre HTTPS) do Google para obter o registro TXT (de texto) do domínio. Ele verifica a resposta com uma assinatura Ed25519 (algoritmo de assinatura digital) e a descriptografa com AES-ECB. O resultado é a URL da carga útil, que, neste caso, está hospedada no Catbox.
Distribuir a cadeia entre Telegram, Google e Catbox torna em grande parte ineficaz o bloqueio de um único domínio de C2.
Um caractere após a URL seleciona um entre três modos de execução. O modo 1 injeta código no svchost.exe. O modo 2 grava um EXE em uma pasta temporária aleatória, após remover o Zone.Identifier. O modo 3 executa um script PowerShell de forma oculta e com a política de execução contornada.
A Check Point observou o modo 1 entregar o XMRig 6.26.0. O minerador se conecta a um pool de mineração na rede onion por meio de um proxy SOCKS5 (protocolo de proxy) local do Tor e usa o Tor com o transporte obfs4 do lyrebird. Ele pausa a mineração enquanto o usuário está ativo e pode carregar o driver WinRing0 para otimização.
Como o loader aceita qualquer payload PE (formato de executável portátil) ou PowerShell, ondas futuras podem entregar stealers (programas que roubam dados) ou ferramentas de acesso remoto. Nenhuma carga desse tipo foi documentada até agora.
Uma variante anterior, de junho de 2026, esperava um processo chamado Cursor.exe. Ela se mantinha ativa por meio de um atalho na pasta Inicializar, usava o sufixo de domínio .aber[.]ir e incluía verificações contra depuração e pontuação de VM (máquina virtual), que depois foram removidas.
A filtragem regional excluía inicialmente apenas sistemas russos, depois foi ampliada e passou a ficar no dropper. O canal do Telegram permaneceu o mesmo em todas as versões.
A Check Point aponta indicadores de origem russa e um provável horário de trabalho no fuso UTC-4, deduzido a partir dos carimbos de data e hora de compilação. Os carimbos de commit eram inconsistentes, o que provavelmente é uma tentativa deliberada de ocultar o fuso horário real do autor.
Defensores devem bloquear softwares de repositórios não verificados e não considerar uma assinatura válida como suficiente quando DLLs inesperadas estiverem ao lado do executável. Também devem procurar a pasta WMProcess, um WMPDMC.exe em execução fora da System32, tarefas do Local System com autoria da Microsoft e consultas ao Telegram ou ao DoH feitas por processos que não são navegadores.
IOCs (indicadores de comprometimento)
Nota: endereços IP e domínios foram propositalmente desfigurados (por exemplo, com [.]) para evitar resolução ou links acidentais. Eles só devem ser restaurados em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de eventos de segurança).
