Dans un rapport publié le 28 octobre 2026, Check Point Research décrit Yoba, une campagne qui a diffusé des malwares Windows sous couvert de faux téléchargements ChatGPT et Claude. Trois archives malveillantes ont été publiées sur GitHub les 30 et 31 août, puis le 4 septembre 2026. La méthode reposait sur le chargement latéral de DLL : un exécutable signé chargeait une DLL malveillante placée à côté. La charge utile finale analysée était le mineur de cryptomonnaie XMRig 6.26.0.
Les faux projets attiraient vers des téléchargements sur GitHub
Les projets frauduleux s’appelaient GPT-5.6 Sol, GPT-6 Astra et Claude Opus. Ce sont des noms de projets usurpant les marques ChatGPT et Claude, pas des produits officiels d’OpenAI ou d’Anthropic. Des dépôts GitHub et des pages GitHub Pages présentaient les prétendus logiciels, tandis que les archives étaient diffusées dans des publications GitHub Releases.
Check Point indique que ces projets apparaissaient en bonne place dans les résultats de Google. Les chercheurs estiment que l’empoisonnement du référencement, ou SEO poisoning, a probablement contribué à cette visibilité. Ils n’ont pas relevé de signes d’étoiles ou de forks artificiellement gonflés sur les dépôts.
Une signature valide ne certifie pas la DLL voisine
Dans le chargement latéral de DLL, un programme charge une bibliothèque logicielle présente dans son dossier. Selon Check Point, les archives Yoba plaçaient une DLL malveillante nommée winmm.dll à côté d’un Setup.exe signé associé à OpenAI ou Anthropic. La signature concerne l’exécutable signé, pas la DLL indépendante déposée à ses côtés.
Le dropper, c’est-à-dire le composant qui installe les étapes suivantes, copiait aussi WMPDMC.exe, un exécutable de Windows Media Player, dans ProgramData\WMProcess et y plaçait wmpdui.dll. Une tâche planifiée lançait ensuite ce programme au démarrage, avec un délai de trois minutes et sous le compte Local System.
YobaLoader a livré XMRig 6.26.0 dans l’analyse de Check Point
Le loader utilisait des informations liées à une image de profil d’un canal Telegram pour générer des noms de domaine, puis interrogeait les enregistrements TXT du service DNS-over-HTTPS de Google afin de récupérer des instructions chiffrées. Le parcours décrit par Check Point faisait ensuite appel à Catbox pour récupérer la charge utile chiffrée.
La charge finale analysée était XMRig 6.26.0, un mineur de cryptomonnaie. YobaLoader est toutefois conçu pour recevoir d’autres charges utiles, notamment des exécutables Windows ou des scripts PowerShell. Cette capacité générale ne signifie pas que ces autres charges ont été observées dans les archives décrites.
Les constats publiés portent sur de faux projets et des exécutables distribués par GitHub. Check Point ne rapporte pas de compromission des services officiels d’OpenAI ou d’Anthropic.
Un domaine Claude authentique peut héberger du contenu publié par des utilisateurs
Dans une affaire distincte de Yoba, Zip Security a signalé de fausses pages d’installation de Claude publiées dans des artefacts accessibles au public sur le vrai domaine claude.ai, puis promues par des annonces de recherche payantes. Un nom de domaine authentique ne suffit donc pas à identifier l’auteur d’un contenu publié par un utilisateur ni à garantir qu’un téléchargement proposé sur cette page est légitime.
Check Point recommande d’éviter les assistants d’IA téléchargés depuis des dépôts non vérifiés et de limiter l’exécution de logiciels provenant de sources inconnues.
