El 28 de octubre de 2026, Check Point Research publicó un informe sobre Yoba, una campaña que distribuyó malware mediante proyectos falsos de ChatGPT y Claude en GitHub. El análisis fecha tres archivos ZIP maliciosos el 30 y el 31 de agosto y el 4 de septiembre de 2026. La carga útil final analizada fue XMRig 6.26.0, un minero de criptomonedas. El informe describe la suplantación de aplicaciones, no una intrusión en los servicios oficiales de OpenAI o Anthropic.
Proyectos falsos y descargas en GitHub
Los nombres GPT-5.6 Sol, GPT-6 Astra y Claude Opus correspondían a proyectos falsos, no a aplicaciones oficiales de OpenAI o Anthropic. Check Point Research describe repositorios de GitHub y páginas de GitHub Pages que ofrecían las descargas en archivos ZIP. Los proyectos aparecieron en posiciones destacadas de Google; los investigadores atribuyeron probablemente esa visibilidad a la manipulación de resultados de búsqueda.
Check Point Research aconseja prudencia con los asistentes de IA descargados desde repositorios no verificados y recomienda restringir la ejecución de software de origen desconocido.
La firma válida no cubría la DLL contigua
La cadena usaba DLL sideloading, o carga lateral de DLL: el dropper colocaba una biblioteca maliciosa llamada winmm.dll junto a un Setup.exe legítimo y firmado asociado a OpenAI o Anthropic. Al ejecutarse, el programa cargaba la DLL contigua. La firma válida del ejecutable se refiere a ese archivo; no certifica otra biblioteca que se haya colocado a su lado.
En el dropper más reciente analizado, el malware copiaba WMPDMC.exe, un ejecutable de Windows Media Player, desde System32 a ProgramData\WMProcess y colocaba allí wmpdui.dll. Una tarea programada configuraba su ejecución con tres minutos de demora al arrancar y bajo la cuenta Local System.
YobaLoader y la carga útil observada
El cargador de segunda etapa, YobaLoader, obtenía instrucciones mediante registros TXT consultados a través de Google DNS-over-HTTPS. Usaba datos de la imagen de perfil de un canal de Telegram para generar dominios y recuperaba una carga cifrada alojada en Catbox.
Check Point Research identificó XMRig 6.26.0, un minero de criptomonedas, como la carga útil final de la campaña analizada. El informe describe YobaLoader como un cargador genérico que también puede recibir otros archivos ejecutables PE o scripts de PowerShell.
Un caso separado bajo el dominio claude.ai
Zip Security informó de otra campaña, independiente de Yoba, que alojaba páginas falsas de instalación de Claude como artefactos públicos creados por usuarios bajo el dominio auténtico claude.ai y las promocionaba con anuncios de búsqueda. Un dominio conocido no convierte automáticamente el contenido creado por usuarios en una página oficial ni acredita la seguridad de una descarga.
