Cibercriminosos têm usado o hype em torno das tecnologias de inteligência artificial (IA) para distribuir malware de mineração de criptomoedas por meio de aplicativos de desktop falsos que imitam ferramentas populares de IA como ChatGPT e Claude.
Em um relatório recente, o fornecedor de segurança cibernética Check Point Research (CPR) afirmou que agentes de ameaça têm criado repositórios falsos no GitHub para anunciar aplicativos falsos de IA como GPT-5.6 Sol, GPT-6 Astra e Claude Opus, entre outros.
Os hackers até criaram sites dedicados no GitHub.io que promovem seus aplicativos falsos de IA e induzem as vítimas a baixar arquivos maliciosos.
De acordo com os pesquisadores da CPR, os atacantes estão usando manipulação de otimização para mecanismos de busca (SEO) para fazer com que seus sites maliciosos fiquem bem posicionados no Google.
Como o malware opera?
Um dos aspectos mais preocupantes da campanha é como os atacantes usam componentes de software legítimos da OpenAI e da Anthropic para mascarar atividades maliciosas.
Os arquivos ZIP maliciosos que as vítimas podem baixar contêm arquivos executáveis legítimos com assinatura digital. Esses executáveis legítimos são empacotados com DLLs maliciosas.
Assim que as vítimas executam o aplicativo aparentemente legítimo, a DLL maliciosa é carregada sem o conhecimento delas, graças à técnica de sideloading de DLL.
Isso torna muito difícil para as vítimas identificar o ataque, já que o malware depende de software legítimo para executar seu código.
No fim das contas, o ataque leva à instalação do XMRig, um minerador de criptomoedas que usa silenciosamente os recursos das vítimas para minerar ativos digitais para os atacantes.
Curiosamente, o malware também pode parar a mineração sempre que detecta atividade do usuário, para que possa evadir a detecção.
Hackers empregam várias táticas para evitar a detecção
Além disso, os pesquisadores da CPR descobriram que o malware inclui várias técnicas para dificultar as investigações de segurança.
Por exemplo, ele pode pausar a execução por um longo período se detectar que não está sendo executado sob o arquivo executável esperado.
Ele também verifica a configuração de idioma do teclado em um computador antes de prosseguir com a infecção.
O primeiro repositório no GitHub da campanha apareceu em julho de 2026, e downloads maliciosos começaram a surgir no final de agosto.
No momento, o payload é um minerador de criptomoedas, mas os pesquisadores alertaram que o YobaLoader pode potencialmente ser usado para implantar outros tipos de malware.
