Raport Check Point Research opublikowany 28 października 2026 r. opisuje kampanię Yoba, w której fałszywe projekty na GitHubie podszywały się pod aplikacje ChatGPT i Claude. Złośliwe pliki wykorzystywały DLL sideloading, czyli ładowanie biblioteki DLL przez program obok niego uruchamiany. W analizowanej kampanii końcowym payloadem był miner XMRig 6.26.0.
Fałszywe projekty prowadziły do pobrania archiwów ZIP
Według Check Point Research projekty GPT-5.6 Sol, GPT-6 Astra i Claude Opus były fałszywymi projektami, a nie oficjalnymi produktami OpenAI ani Anthropic. Powiązane strony GitHub Pages opisywały aplikacje, a złośliwe archiwa ZIP udostępniano w wydaniach na GitHubie. Opisane pliki opublikowano 30 i 31 sierpnia oraz 4 września 2026 r.
Projekty pojawiały się wysoko w wynikach Google. Badacze ocenili, że prawdopodobnym wyjaśnieniem była manipulacja widocznością w wyszukiwarce, czyli SEO poisoning. Nie znaleźli oznak sztucznego pompowania liczby gwiazdek ani forków repozytoriów.
Podpisany program mógł załadować sąsiednią bibliotekę DLL
Check Point opisał mechanizm, w którym złośliwy plik winmm.dll umieszczono obok podpisanego cyfrowo Setup.exe powiązanego z OpenAI lub Anthropic. Gdy program uruchamiał bibliotekę z tego samego katalogu, mógł załadować podstawioną DLL. Podpis cyfrowy potwierdza tożsamość i integralność podpisanego pliku, a nie osobnego pliku umieszczonego obok niego.
W opisywanym nowszym wariancie YobaDropper kopiował plik WMPDMC.exe z katalogu systemowego do ProgramData\\WMProcess i umieszczał tam również wmpdui.dll. Zaplanowane zadanie uruchamiało ten zestaw po starcie systemu, z trzyminutowym opóźnieniem i na koncie Local System.
YobaLoader dostarczył miner XMRig 6.26.0
Według Check Point Research YobaLoader wykorzystywał zdjęcie profilowe kanału Telegram jako dane wejściowe do generowania domen, a następnie pobierał instrukcje z rekordów TXT w usłudze Google DNS-over-HTTPS. Zaszyfrowany payload trafiał z Catbox. W analizowanej kampanii końcowym payloadem był XMRig 6.26.0, czyli program do kopania kryptowaluty.
Check Point opisał YobaLoader jako uniwersalny loader zdolny dostarczać również inne pliki wykonywalne PE lub skrypty PowerShell. To możliwości narzędzia, a nie inne payloady zaobserwowane w tej analizie. Opisane fałszywe projekty wykorzystywały powiązane z OpenAI i Anthropic pliki jako hosty DLL; raport nie opisywał naruszenia oficjalnych usług tych firm.
Prawdziwa domena też może zawierać treści użytkowników
W osobnym raporcie opublikowanym 27 lipca 2026 r. Zip Security opisała inną kampanię z fałszywymi stronami instalacyjnymi Claude. Strony znajdowały się w publicznych artefaktach tworzonych przez użytkowników w domenie claude.ai i były promowane płatnymi reklamami w wyszukiwarce. Zip Security nie łączy tej sprawy z Yoba. Przypadek pokazuje, że prawdziwy adres usługi nie poświadcza automatycznie wiarygodności treści zamieszczonej przez użytkownika ani oferowanego pliku.
Check Point zaleca ostrożność wobec asystentów AI pobieranych z niezweryfikowanych repozytoriów oraz ograniczanie uruchamiania oprogramowania z nieznanych źródeł.
