Check Point Research meldde op 28 oktober 2026 dat de Yoba-campagne neppe ChatGPT- en Claude-downloads gebruikte om Windows-malware te verspreiden. De onderzoekers beschreven drie kwaadaardige ZIP-releases, geüpload op 30 en 31 augustus en 4 september 2026. De geanalyseerde eindpayload was XMRig 6.26.0, een cryptominer.
Neppe ChatGPT- en Claude-projecten op GitHub
De projecten droegen de namen GPT-5.6 Sol, GPT-6 Astra en Claude Opus. Ze deden zich voor als desktopapps voor ChatGPT of Claude, met GitHub-repositories, gekoppelde GitHub Pages-downloadpagina’s en ZIP-bestanden die als releases op GitHub stonden. De namen waren projectnamen van de neppe downloads, geen officiële productnamen van OpenAI of Anthropic.
De projecten verschenen hoog in Google-zoekresultaten. Check Point Research beoordeelde beïnvloeding van zoekresultaten, ook wel SEO poisoning genoemd, als een waarschijnlijke verklaring. De campagnes maakten zo gebruik van zowel herkenbare merknamen als een downloadroute die via zoekresultaten bereikbaar was.
Een geldige handtekening dekt niet de DLL ernaast
De eerste stap gebruikte volgens Check Point Research een kwaadaardige winmm.dll naast een ondertekend Setup.exe-bestand. DLL-sideloading is een techniek waarbij een programma een DLL-bestand laadt dat ernaast staat. In deze campagne moest het uitvoerbare bestand de losse, kwaadaardige DLL laden.
De handtekening van Setup.exe maakte de DLL niet betrouwbaar. Een digitale handtekening geeft informatie over het bestand waarop die handtekening staat; ze certificeert niet automatisch andere bestanden in dezelfde map.
Van dropper naar de waargenomen cryptominer
De nieuwere dropper kopieerde WMPDMC.exe van Windows Media Player naar ProgramData\WMProcess, plaatste daar ook wmpdui.dll en gebruikte een geplande taak om het proces na het opstarten uit te voeren. Die taak had een vertraging van drie minuten en draaide onder het Local System-account.
Vervolgens haalde YobaLoader volgens Check Point Research opdrachtgegevens op via Telegram en Google DNS-over-HTTPS, en een versleutelde payload via Catbox. In de onderzochte campagne was die payload XMRig 6.26.0. Check Point beschrijft YobaLoader als een algemene loader die ook andere uitvoerbare bestanden of PowerShell-scripts kan afleveren. Die mogelijkheid is iets anders dan wat in deze campagne als eindpayload is waargenomen.
De gemelde campagne betrof nepdownloads, niet de officiële diensten
Check Point Research beschreef neppe GitHub-projecten en kwaadaardige releases die ondertekende uitvoerbare bestanden gebruikten als host voor DLL-sideloading. Het rapport meldde geen inbraak in de officiële diensten van OpenAI of Anthropic.
Een aparte Claude-zaak laat zien waarom een vertrouwd domein op zichzelf geen garantie biedt voor een gebruikersdownload. Zip Security meldde een andere campagne waarin neppe Claude-installatiepagina’s stonden in openbare, door gebruikers gemaakte onderdelen op het echte domein claude.ai; de pagina’s werden volgens het bedrijf ook via betaalde zoekadvertenties gepromoot. Die zaak staat los van Yoba, maar maakt duidelijk dat een echt domein niet automatisch de inhoud of een download van een gebruiker authenticeert.
Check Point Research adviseerde voorzichtig te zijn met AI-hulpprogramma’s uit niet-geverifieerde repositories en uitvoering van software uit onbekende bronnen te beperken.
