Киберпреступники использовали ажиотаж вокруг технологий искусственного интеллекта (ИИ) для распространения вредоносного ПО для майнинга криптовалют через поддельные настольные приложения, которые имитируют популярные ИИ-инструменты, такие как ChatGPT и Claude.
В недавнем отчете поставщик решений в области кибербезопасности Check Point Research (CPR) сообщил, что злоумышленники создавали поддельные репозитории GitHub для рекламы поддельных ИИ-приложений, таких как GPT-5.6 Sol, GPT-6 Astra и Claude Opus, среди прочих.
Хакеры даже создали специальные сайты GitHub.io, которые продвигают их поддельные ИИ-приложения и обманом заставляют жертв загружать вредоносные файлы.
По словам исследователей CPR, злоумышленники используют манипуляции с поисковой оптимизацией (SEO), чтобы их вредоносные сайты занимали высокие позиции в Google.
Как действует вредоносное ПО?
Одним из наиболее тревожных аспектов этой кампании является то, как злоумышленники используют легитимные программные компоненты от OpenAI и Anthropic, чтобы маскировать вредоносную активность.
Вредоносные ZIP-архивы, которые могут загрузить жертвы, содержат легитимные исполняемые файлы с цифровой подписью. Эти легитимные исполняемые файлы поставляются вместе с вредоносными DLL.
Как только жертвы запускают внешне легитимное приложение, вредоносная DLL загружается без их ведома благодаря технике боковой загрузки DLL (DLL sideloading).
Это делает обнаружение атаки жертвами очень сложным, поскольку вредоносное ПО полагается на легитимное программное обеспечение для выполнения своего кода.
В конечном итоге атака приводит к установке XMRig — майнера криптовалют, который незаметно использует ресурсы жертв для майнинга цифровых активов для злоумышленников.
Интересно, что вредоносное ПО также может прекращать майнинг всякий раз, когда оно обнаруживает активность пользователя, чтобы избежать обнаружения.
Хакеры используют различные тактики, чтобы избежать обнаружения
Кроме того, исследователи CPR обнаружили, что вредоносное ПО включает несколько техник, затрудняющих расследование в области безопасности.
Например, оно может приостанавливать выполнение на очень длительное время, если обнаруживает, что работает не под ожидаемым исполняемым файлом.
Оно также проверяет настройку языка клавиатуры на компьютере, прежде чем продолжить заражение.
Первый репозиторий GitHub для этой кампании появился в июле 2026 года, а вредоносные загрузки начали появляться в конце августа.
На данный момент полезная нагрузка представляет собой майнер криптовалют, но исследователи предупредили, что YobaLoader потенциально может использоваться для развертывания других типов вредоносного ПО.
