Kampania Yoba: fałszywe aplikacje ChatGPT i Claude z GitHuba instalują koparkę kryptowalut

Check Point opisał kampanię Yoba, w której fałszywe projekty na GitHubie podszywają się pod desktopowe wersje ChatGPT i Claude, a na końcu instalują koparkę kryptowalut. Badacze śledzą ją od dwóch miesięcy. Repozytoria i strony GitHub.io oferują rzekome aplikacje GPT-5.6 Sol, GPT-6 Astra i Claude Opus jako archiwa ZIP. Nie mają sztucznie podbitych gwiazdek, ale według Check Point trafiają wysoko w wynikach Google dzięki zatruwaniu SEO. Każde archiwum zawiera prawdziwy plik wykonywalny podpisany przez OpenAI lub Anthropic oraz złośliwą bibliotekę DLL, którą ten plik ładuje po uruchomieniu. Według Check Point ani ChatGPT i Claude, ani OpenAI i Anthropic nie zostały przejęte.

Kogo dotyczy

Osób, które szukają w Google desktopowych aplikacji ChatGPT lub Claude i pobierają je z GitHuba. Archiwa nie są chronione hasłem, a złośliwe oprogramowanie ma niską wykrywalność dzięki technikom utrudniającym analizę. Nie infekuje komputerów z rosyjskim układem klawiatury ani z układami kilku innych krajów WNP, przy czym ukraiński nie jest wyłączony.