Atores de ameaças estão distribuindo loaders maliciosos e mineradores de criptomoedas disfarçados de aplicativos para computador supostamente destinados ao Anthropic Claude e ao OpenAI ChatGPT. A campanha foi batizada de Yoba.
A operação envolve a criação de projetos falsos no GitHub, apresentados como aplicativos para computador com nomes como GPT-5.6 Sol, GPT-6 Astra e Claude Opus. Na prática, eles instalam uma família de malware chamada YobaLoader.
“O malware é colocado junto a executáveis legítimos e assinados da OpenAI e da Anthropic para ser carregado indiretamente. Essa técnica, conhecida como carregamento lateral de DLL, é frequentemente usada para contornar proteções de segurança”, afirmou a Check Point Research em uma análise.
Para dar mais credibilidade aos projetos, os invasores criaram páginas no GitHub.io descrevendo os recursos dos programas. Embora não haja indícios de que a popularidade dos projetos tenha sido manipulada por meio de redes fantasma, há sinais de envenenamento de SEO para fazer os links aparecerem entre os primeiros resultados das buscas no Google.
Alguns dos links identificados para as páginas no GitHub são:
- github[.]com/gpt-5-6/sol-free-desktop
- gpt-5-6.github[.]io
- github[.]com/gpt-5-6/gpt-5-6.github.io
- github[.]com/gpt-6-astra/gpt-6-astra.github.io
- gpt-6-astra[.]github[.]io
- github[.]com/opus-5-0/opus-5-0.github[.]io
- opus-5-0[.]github[.]io
“Cada repositório usa um endereço de e-mail diferente (edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com e rioprestonlfyx[@]outlook[.]com), e os horários de envio dos arquivos indicam que seus autores operam, respectivamente, nos fusos UTC+4, UTC-4 e UTC+3”, informou a Check Point. “Essa inconsistência provavelmente reflete uma tentativa deliberada de ocultar o verdadeiro fuso horário operacional do agente de ameaça.”
Os repositórios hospedam arquivos ZIP que incluem, entre outros itens, dois componentes:
- Setup.exe, um executável legítimo e assinado do OpenAI Codex ou do Claude;
- winmm.dll, uma biblioteca DLL maliciosa carregada lateralmente pelo executável.
A DLL é um dropper chamado YobaDropper. Ele verifica uma soma de verificação calculada com base no hash do nome-base do executável hospedeiro. Se o resultado corresponder ao valor fixo “0xE6C2F326”, a execução prossegue. Na prática, isso significa que o arquivo precisa ser iniciado por meio de “Setup.exe”. Se a DLL for executada sozinha em um ambiente isolado, a verificação falha.
Entre as técnicas adicionais de anti-análise e as verificações preliminares estão 200 mil repetições de “Sleep(5500)”, o que equivale a uma espera de 12,73 dias. O malware também evita máquinas cujo layout de teclado esteja configurado para Rússia, Belarus, Tajiquistão, Armênia, Azerbaijão, Geórgia, Cazaquistão, Quirguistão, Turcomenistão ou Uzbequistão. O tártaro também está entre os idiomas excluídos do processo de infecção. A Ucrânia, por outro lado, não aparece na lista, embora historicamente tenha sido incluída em verificações desse tipo.
O YobaDropper inicia sua própria cadeia de carregamento lateral de DLL, que envolve “wmpdmc.exe” e “ampdui.dll”. O malware copia o primeiro arquivo da pasta “system32” e o coloca em um novo diretório chamado “WMProcess”, criado dentro de “ProgramData”.
Em seguida, o dropper extrai e descriptografa um payload incorporado e o salva na mesma pasta que “ampdui.dll”. Para manter a persistência, cria uma tarefa agendada que inicia o executável legítimo e carrega o payload malicioso.
A segunda DLL é o YobaLoader. Ela aplica a mesma técnica contra ambientes isolados usada pelo YobaDropper: exige que o malware seja iniciado por “wmpdmc.exe” e compara o hash com o valor fixo “0x552751E3”. O loader executa as seguintes tarefas:
- Baixa uma imagem de um canal do Telegram (“t[.]me/yoba_fanclub”).
- Usa os últimos 50 bytes da imagem como semente para gerar um domínio. Para isso, combina palavras de três listas de vocabulário com um número entre 0 e 999, por meio de um algoritmo de geração de domínios (DGA). O resultado segue o formato “adjetivo-substantivo-verbo-dígito.dedyn[.]io”.
- Consulta a API do Google para o protocolo DNS sobre HTTPS (DoH) e obtém um comando codificado em Base64 a partir de um registro TXT do DNS, usando o domínio gerado.
- Descriptografa a resposta para obter o endereço de onde baixar o payload da etapa seguinte (“files.catbox[.]moe/z5zpy9.dat”).
“O uso de um serviço de DoH e de plataformas comuns de hospedagem de arquivos permite ao agente de ameaça tentar contornar o monitoramento passivo de DNS e algumas proteções aplicadas nos gateways. Com isso, o tráfego de command and control fica mais difícil de distinguir da atividade normal dos usuários”, afirmou a Check Point.
O payload baixado é injetado no “svchost.exe”, levando à execução do minerador de criptomoedas XMRig.
As evidências indicam que o primeiro repositório no GitHub foi criado por volta de julho de 2026, embora os lançamentos maliciosos só tenham sido publicados no fim de agosto. Além disso, versões iniciais do YobaLoader excluíam apenas a Rússia do processo de infecção e incluíam verificações extensas contra depuradores e máquinas virtuais. Esses recursos foram removidos das versões mais recentes.
“A campanha Yoba mostra como invasores podem recorrer a plataformas confiáveis e ao interesse atual por ferramentas de IA para distribuir malware de uma forma que, à primeira vista, parece convincente e inofensiva”, afirmou a Check Point. “Ao empacotar o código com nomes de programas conhecidos e hospedá-lo no GitHub, eles reduzem a chance de que usuários ou verificações básicas de segurança identifiquem os arquivos imediatamente como suspeitos.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...