Cyberkriminelle haben den Hype rund um Technologien der künstlichen Intelligenz (KI) genutzt, um Kryptowährungs-Mining-Malware über gefälschte Desktop-Apps zu verbreiten, die beliebte KI-Tools wie ChatGPT und Claude nachahmen.
In einem aktuellen Bericht erklärte der Cybersicherheitsanbieter Check Point Research (CPR), dass Bedrohungsakteure gefälschte GitHub-Repositories eingerichtet haben, um für gefälschte KI-Apps wie GPT-5.6 Sol, GPT-6 Astra und Claude Opus und andere zu werben.
Die Hacker haben sogar eigene GitHub.io-Seiten eingerichtet, die ihre gefälschten KI-Apps bewerben und Opfer dazu verleiten, schädliche Dateien herunterzuladen.
Laut den CPR-Forschern nutzen die Angreifer Suchmaschinenoptimierung (SEO)-Manipulation, um ihre schädlichen Seiten auf Google hoch zu platzieren.
Wie funktioniert die Malware?
Einer der besorgniserregendsten Aspekte der Kampagne ist, wie die Angreifer legitime Softwarekomponenten von OpenAI und Anthropic verwenden, um schädliche Aktivitäten zu verschleiern.
Die schädlichen ZIP-Archive, die Opfer herunterladen können, enthalten legitime, digital signierte ausführbare Dateien. Diese legitimen ausführbaren Dateien sind mit schädlichen DLLs gebündelt.
Sobald die Opfer die scheinbar legitime Anwendung ausführen, wird die schädliche DLL dank der DLL-Sideloading-Technik ohne ihr Wissen geladen.
Dies macht es für die Opfer sehr schwer, den Angriff zu erkennen, da die Malware auf legitime Software angewiesen ist, um ihren Code auszuführen.
Letztendlich führt der Angriff zur Installation von XMRig, einem Kryptowährungs-Miner, der still und leise die Ressourcen der Opfer nutzt, um digitale Vermögenswerte für die Angreifer zu schürfen.
Interessanterweise kann die Malware das Mining auch stoppen, wenn sie Benutzeraktivität erkennt, um so der Entdeckung zu entgehen.
Hacker setzen verschiedene Taktiken ein, um der Entdeckung zu entgehen
Darüber hinaus entdeckten die CPR-Forscher, dass die Malware mehrere Techniken enthält, die Sicherheitsuntersuchungen erschweren.
Beispielsweise kann sie die Ausführung für sehr lange Zeit aussetzen, wenn sie erkennt, dass sie nicht unter der erwarteten ausführbaren Datei läuft.
Sie überprüft außerdem die Tastaturspracheinstellung eines Computers, bevor sie mit der Infektion fortfährt.
Das erste GitHub-Repository für die Kampagne tauchte im Juli 2026 auf, und schädliche Downloads begannen Ende August aufzutauchen.
Derzeit ist die Nutzlast ein Kryptowährungs-Miner, aber Forscher haben gewarnt, dass YobaLoader potenziell eingesetzt werden kann, um andere Arten von Malware zu verbreiten.
