Yoba-Malware tarnt sich auf GitHub als gefälschte ChatGPT- und Claude-Apps

Gefälschte KI-Apps dort, wo Nutzer suchen

Laut CPR legten die Angreifer GitHub-Repositories und GitHub-Pages-Seiten an, die angebliche Desktop-Versionen neuer KI-Produkte bewarben. Verwendet wurden unter anderem die Namen „GPT-5.6 Sol“, „GPT-6 Astra“ und „Claude Opus“. Die Download-Links führten zu schädlichen ZIP-Dateien, die als GitHub-Releases bereitgestellt wurden.

Hinweise auf künstlich aufgeblähte Sterne oder Forks gab es bei den Repositories nicht. Sie erschienen aber prominent in der Google-Suche. Aufgrund der auf die Suche ausgerichteten Inhalte und der Methoden zur Verteilung der Installer stuft CPR die Kampagne als typisch für SEO Poisoning ein. Damit sollen schädliche Projekte gezielt Menschen angezeigt werden, die aktiv nach KI-Software suchen.

CPR zufolge wird so die Nachfrage nach neuen KI-Funktionen zum ersten Angriffsvektor, und die Softwaresuche selbst wird Teil der Social-Engineering-Kette.

Signierte Programmdateien für DLL-Sideloading

Die heruntergeladenen Pakete kombinieren die schädlichen Komponenten von Yoba mit legitimer Software. Die ChatGPT-Pakete enthielten eine legitime, signierte OpenAI-Setup.exe, das Claude-Paket eine legitime, signierte Claude-Programmdatei. Beim Start laden diese Dateien eine daneben abgelegte schädliche winmm.dll, eine Technik, die als DLL-Sideloading bekannt ist.

CPR betont, dass die Untersuchung keine Hinweise darauf liefert, dass ChatGPT, Claude, OpenAI oder Anthropic kompromittiert wurden. Stattdessen nutzten die Angreifer legitime signierte Binärdateien und das Vertrauen in die Marken aus. Für Verteidiger heißt das: Eine gültige Signatur belegt die Legitimität einer einzelnen ausführbaren Datei, nicht aber die jeder Komponente, die im selben Paket liegt.

Die schädliche Komponente YobaDropper führt mehrere Prüfungen durch, die die automatisierte Analyse erschweren sollen. Sie stellt sicher, dass sie von der erwarteten Setup.exe gestartet wurde, und baut eine lange Verzögerung ein, falls diese Prüfung fehlschlägt. Außerdem führt sie regionale Sprachprüfungen durch und verlangt Administratorrechte. Anschließend installiert sie YobaLoader neben einer legitimen Windows-Programmdatei und legt eine geplante Aufgabe an, damit diese Datei YobaLoader nach dem Systemstart per Sideloading lädt.

Telegram, Google DNS und Catbox in der Verteilungskette

Yoba kombiniert mehrere legitime Internetdienste, um die nächste Stufe zu beziehen, statt sich allein auf dedizierte Command-and-Control-Infrastruktur zu verlassen. YobaLoader ruft zunächst einen Telegram-Kanal auf und lädt dessen Profilbild ab. Aus den Daten dieses Bildes wird eine Domain erzeugt, sodass der Angreifer die Domain durch den Austausch des Bildes ändern kann.

Anschließend fragt die Malware beim DNS-over-HTTPS-Dienst von Google einen DNS-TXT-Eintrag ab, der zu dieser Domain gehört. Nach Prüfung und Entschlüsselung der Antwort kann sie von externen Hostern wie Catbox eine verschlüsselte Nutzlast herunterladen. Laut CPR lässt sich schädlicher Datenverkehr dadurch schwerer von normaler Aktivität unterscheiden, und das Blockieren eines einzelnen Servers oder einer einzelnen Domain wird weniger wirksam.

Diesmal ein Miner, aber der Loader ist universell

In der von CPR analysierten Kampagne war die finale Nutzlast XMRig 6.26.0, das zum Schürfen von Kryptowährung diente. Der Miner konnte über Tor kommunizieren und die Nutzeraktivität überwachen, wobei er das Schürfen pausierte, solange das Opfer den Rechner aktiv nutzte.

CPR warnt davor, Yoba lediglich als Kryptomining-Malware zu betrachten. YobaLoader ist ein generischer Loader, der andere ausführbare Windows-Dateien oder PowerShell-Nutzlasten ausliefern kann, sodass dieselbe Kette potenziell auch andere Schadsoftware verbreiten könnte. Organisationen, die auf Yoba stoßen, sollten die Infektion als umfassenderen Sicherheitsvorfall behandeln und sich nicht allein auf die Entfernung von XMRig konzentrieren.

Was das für Unternehmen bedeutet

CPR argumentiert, dass der Schutz beim Einsatz von KI mehr umfasst als die Absicherung von Modellen, Prompts und Unternehmensdaten. Dazu gehört auch, wie Beschäftigte KI-Anwendungen finden, herunterladen und installieren. Zu den Empfehlungen zählen:

• Software an der Quelle prüfen: Downloads über vom Hersteller kontrollierte Kanäle beziehen, statt sich auf Suchrankings, GitHub-Seiten oder Links Dritter zu verlassen.
• Nicht autorisierte Anwendungen und Administratorrechte auf Firmen-Endgeräten einschränken.
• Downloads und Verhalten prüfen: Check Point verweist auf Threat Emulation und den Browser-Schutz in seinem Produkt Endpoint Security.
• Aktivität jenseits der ersten Datei erkennen: einschließlich dessen, was legitime Anwendungen laden und ausführen.

Check Point zufolge bietet zudem ThreatCloud AI Schutz vor Command-and-Control-Aktivitäten und maschinell erzeugten Domains, die für Kampagnen wie Yoba relevant sind.