Están distribuyendo el malware Yoba mediante descargas falsas de ChatGPT y Claude. Para evadir la detección, combinan aplicaciones legítimas y firmadas digitalmente con librerías maliciosas alojadas en GitHub. Este ataque, que no compromete los sistemas de OpenAI o Anthropic, tiene como objetivo final instalar un minero de criptomonedas en ordenadores con Windows.

Distribuyendo el malware Yoba a través de descargas falsas de ChatGPT y Claude, emparejando aplicaciones legítimas firmadas digitalmente con librerías maliciosas.

La campaña utiliza software confiable y alojamiento en GitHub para que los instaladores peligrosos parezcan creíbles, desplegando finalmente un minero de criptomonedas en ordenadores Windows comprometidos.

El ataque no requiere comprometer a OpenAI o Anthropic. En su lugar, los criminales colocan archivos maliciosos junto a ejecutables auténticos y explotan la forma en que esos programas cargan las librerías de soporte.

Una firma válida protege la integridad del ejecutable firmado, pero no garantiza que los archivos adyacentes sean seguros.

Analistas de PolySwarm señalaron en su informe de amenazas del 2 de noviembre que Yoba combina el abuso de aplicaciones firmadas, comprobaciones ambientales y una entrega de carga útil en capas.

Su evaluación se basa en la investigación de Check Point Research, que rastreó repositorios de IA fraudulentos durante aproximadamente dos meses.

Abusan de aplicaciones firmadas de ChatGPT y Claude

Los atacantes crearon repositorios de GitHub y sitios web de GitHub Pages anunciando supuestas aplicaciones de escritorio llamadas GPT-5.6 Sol, GPT-6 Astra y Claude Opus.

Los visitantes eran dirigidos a archivos ZIP distribuidos a través de versiones de GitHub. Informes anteriores sobre descargas falsas de IA en GitHub describen el uso de marcas familiares por parte de la misma campaña para fomentar la instalación.

Los investigadores rastrearon los repositorios hasta julio de 2026, con versiones maliciosas apareciendo a finales de agosto y principios de septiembre. Algunos proyectos destacaron en las búsquedas de Google a pesar de no mostrar estrellas o bifurcaciones infladas artificialmente.

Check Point evaluó que la visibilidad en las búsquedas probablemente implicó envenenamiento de SEO, en lugar de confirmar cómo se manipularon los rankings. Dentro de los archivos, un instalador firmado genuino carga YobaDropper a través de DLL sideloading.

La librería maliciosa expone 180 funciones para parecer un componente multimedia de Windows, pero su lógica dañina se ejecuta desde su punto de entrada. Ataques relacionados de sideloading de software firmado muestran cómo esta técnica se extiende más allá de los señuelos temáticos de IA.

Antes de continuar, YobaDropper verifica el nombre del ejecutable host. Si no coinciden, se activan 200,000 ciclos de sueño de 5.5 segundos cada uno, retrasando la ejecución más allá de muchas ventanas de análisis automatizadas.

También filtra las distribuciones de teclado, excluyendo entornos de idioma ruso, bielorruso, armenio, azerbaiyano, kazajo y otros, mientras exime explícitamente al ucraniano. Se requieren privilegios de administrador para proceder.

El dropper luego copia un componente legítimo de Windows Media Player en un directorio ProgramData y desencripta otra librería maliciosa.

Una tarea programada que se ejecuta como Sistema Local lanza el ejecutable copiado tras un retraso de inicio de tres minutos. Los detalles de la tarea con temática de Microsoft ayudan a disfrazar esta segunda etapa de sideloading, que activa YobaLoader.

Asignación via Telegram, minería XMRig y prioridades de detección

YobaLoader recupera la imagen de perfil de un canal de Telegram y alimenta sus últimos 50 bytes en un algoritmo de generación de dominios. Cambiar esa imagen cambia el dominio generado, permitiendo a los operadores redireccionar la cadena de infección sin tener que reconstruir el malware.

El cargador consulta el servicio DNS-over-HTTPS de Google para obtener un registro TXT, valida las instrucciones devueltas utilizando firmas Ed25519 y las desencripta usando AES en modo ECB.

Luego descarga una carga útil encriptada desde servicios de alojamiento como Catbox. Campañas de minería de XMRig ocultas documentadas por separado ilustran cómo los registros DNS y el contenido de las imágenes pueden respaldar cadenas de entrega ocultas.

Los investigadores observaron XMRig 6.26.0 inyectado en un proceso de servicio de Windows. El tráfico de minería pasaba a través de un proxy local Tor SOCKS5, mientras que el monitoreo de actividad pausaba la minería durante el uso del ordenador.

YobaLoader también admite cargas útiles de ejecutables y PowerShell ocultos, aunque no se documentó el robo de información ni el despliegue de ransomware.

Si eres un defensor de la seguridad, deberías investigar cargas de DLL inesperadas, tareas programadas con temática de Microsoft y ejecutables de Windows que se ejecuten desde directorios inusuales. Revisar las cadenas de ejecución completas es más importante que confiar solo en las firmas; el minero observado es solo una de las cargas útiles que este cargador puede entregar.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-signed-chatgpt/