Check Point Research ha descritto il malware Yoba, diffuso attraverso falsi progetti GitHub che imitavano app desktop di ChatGPT e Claude. I tre archivi dannosi indicati nel rapporto, pubblicato il 28 ottobre 2026, furono caricati il 30 agosto, il 31 agosto e il 4 settembre. Il payload finale analizzato era XMRig 6.26.0, un programma per il mining di criptovalute.
I progetti si chiamavano GPT-5.6 Sol, GPT-6 Astra e Claude Opus: nomi usati per attirare chi cercava strumenti per Windows, non prodotti ufficiali di OpenAI o Anthropic. Check Point Research non segnala una compromissione dei servizi ufficiali delle due aziende.
Come circolavano i download falsi
I falsi progetti erano presentati su repository GitHub e pagine GitHub Pages; gli archivi di installazione venivano distribuiti come release GitHub. Secondo Check Point Research, i progetti comparivano in alto nei risultati di Google e il probabile motivo era il SEO poisoning, cioè la manipolazione dei risultati di ricerca per aumentare la visibilità di pagine dannose.
La pagina che si presentava come download di Claude mostrava il dominio opus-5.0.github.io nella barra del browser e un pulsante per scaricare un programma per Windows.
Perché una firma valida non protegge la DLL vicina
Il rapporto descrive un attacco chiamato DLL sideloading: il malware colloca una libreria DLL dannosa accanto a un eseguibile legittimo e sfrutta l’avvio di quest’ultimo per caricarla. In questo caso, la DLL winmm.dll era accanto a un Setup.exe firmato, associato a OpenAI nei pacchetti a tema ChatGPT e ad Anthropic in quello a tema Claude. La firma dell’eseguibile certifica quel file, non la DLL separata che gli sta accanto.
Le schermate affiancate mostrano le informazioni di firma e versione di file associati a OpenAI e Anthropic. Una firma valida riguarda il file indicato nel pannello; non rende sicuri altri file presenti nella stessa cartella.
Dal primo eseguibile al payload osservato
Dopo l’avvio, il dropper copiava WMPDMC.exe, un eseguibile di Windows Media Player, nella cartella ProgramData\WMProcess, aggiungeva la DLL wmpdui.dll e programmava l’avvio del processo tramite un’attività pianificata. La catena usava quindi un altro eseguibile legittimo come host per caricare una DLL distinta.
Il passaggio successivo, gestito da YobaLoader, usava un canale Telegram per ricavare informazioni utili a generare un dominio e interrogava il servizio Google DNS-over-HTTPS per ottenere istruzioni. Il payload cifrato veniva recuperato da Catbox. Check Point Research descrive inoltre il loader come capace di avviare un eseguibile, eseguire uno script PowerShell o iniettare un payload in un processo: sono modalità supportate dal loader, non tutte documentate come usate nelle release analizzate.
Il payload finale osservato in questa campagna era XMRig 6.26.0. La capacità del loader di ricevere altri payload non cambia ciò che Check Point ha identificato in questo caso.
Un dominio autentico non basta a rendere affidabile un download
In un caso distinto, pubblicato il 27 luglio 2026, Zip Security ha riferito di false pagine d’installazione di Claude ospitate in artefatti pubblici creati dagli utenti sul dominio autentico claude.ai e promosse con annunci a pagamento sui motori di ricerca. Il caso non riguarda Yoba: mostra però che un dominio reale può ospitare contenuti creati dagli utenti, e che la sua autenticità da sola non garantisce quella di ogni pagina o download.
