Cyberprzestępcy wykorzystywali szum wokół technologii sztucznej inteligencji (AI) do rozpowszechniania złośliwego oprogramowania do kopania kryptowalut za pośrednictwem fałszywych aplikacji desktopowych, które naśladują popularne narzędzia AI, takie jak ChatGPT i Claude.
W niedawnym raporcie dostawca cyberbezpieczeństwa Check Point Research (CPR) poinformował, że aktorzy zagrożeń tworzyli fałszywe repozytoria GitHub, aby reklamować fałszywe aplikacje AI, takie jak GPT-5.6 Sol, GPT-6 Astra i Claude Opus, między innymi.
Hakerzy utworzyli nawet dedykowane strony GitHub.io, które promują ich fałszywe aplikacje AI i nakłaniają ofiary do pobierania złośliwych plików.
Według badaczy CPR atakujący wykorzystują manipulację optymalizacją pod kątem wyszukiwarek (SEO), aby ich złośliwe strony zajmowały wysokie pozycje w Google.
Jak działa złośliwe oprogramowanie?
Jednym z najbardziej niepokojących aspektów tej kampanii jest sposób, w jaki atakujący wykorzystują legalne komponenty oprogramowania od OpenAI i Anthropic do maskowania złośliwej działalności.
Złośliwe archiwa ZIP, które ofiary mogą pobrać, zawierają legalne, cyfrowo podpisane pliki wykonywalne. Te legalne pliki wykonywalne są dołączone do złośliwych bibliotek DLL.
Gdy ofiary uruchomią pozornie legalną aplikację, złośliwa biblioteka DLL zostaje załadowana bez ich wiedzy, dzięki technice DLL sideloading.
Sprawia to, że ofiarom bardzo trudno jest dostrzec atak, ponieważ złośliwe oprogramowanie polega na legalnym oprogramowaniu, aby uruchomić swój kod.
Ostatecznie atak prowadzi do instalacji XMRig, koparki kryptowalut, która po cichu wykorzystuje zasoby ofiar do kopania aktywów cyfrowych dla atakujących.
Co ciekawe, złośliwe oprogramowanie może również zatrzymać kopanie, gdy wykryje aktywność użytkownika, aby uniknąć wykrycia.
Hakerzy stosują różne taktyki, aby uniknąć wykrycia
Ponadto badacze CPR odkryli, że złośliwe oprogramowanie zawiera kilka technik utrudniających dochodzenia w zakresie bezpieczeństwa.
Na przykład może wstrzymać wykonanie na bardzo długi czas, jeśli wykryje, że nie działa pod oczekiwanym plikiem wykonywalnym.
Sprawdza również ustawienie języka klawiatury na komputerze przed kontynuowaniem infekcji.
Pierwsze repozytorium GitHub dla tej kampanii pojawiło się w lipcu 2026 roku, a złośliwe pobrania zaczęły pojawiać się pod koniec sierpnia.
Obecnie ładunek jest koparką kryptowalut, ale badacze ostrzegli, że YobaLoader może potencjalnie być używany do wdrażania innych rodzajów złośliwego oprogramowania.
