网络犯罪分子一直在利用围绕人工智能（AI）技术的热潮，通过模仿 ChatGPT 和 Claude 等热门 AI 工具的虚假桌面应用来传播加密货币挖矿恶意软件。
在最近的一份报告中，网络安全厂商 Check Point Research（CPR）表示，威胁行为者一直在建立虚假的 GitHub 仓库，用来宣传 GPT-5.6 Sol、GPT-6 Astra 和 Claude Opus 等虚假 AI 应用。
黑客甚至建立了专门的 GitHub.io 网站来推广他们的虚假 AI 应用，并诱骗受害者下载恶意文件。
据 CPR 研究人员称，攻击者正在利用搜索引擎优化（SEO）操纵手段，使其恶意网站在谷歌上获得高排名。
该恶意软件如何运作？
该活动最令人担忧的方面之一是，攻击者如何利用 OpenAI 和 Anthropic 的合法软件组件来掩盖恶意活动。
受害者可下载的恶意 ZIP 压缩包中包含合法的数字签名可执行文件。这些合法可执行文件与恶意 DLL 捆绑在一起。
一旦受害者运行看似合法的应用程序，得益于 DLL 侧加载技术，恶意 DLL 就会在受害者不知情的情况下被加载。
这使得受害者很难发现攻击，因为该恶意软件依赖合法软件来运行其代码。
最终，该攻击会导致安装 XMRig，这是一款加密货币挖矿程序，它会悄悄利用受害者的资源为攻击者挖掘数字资产。
有趣的是，该恶意软件还能在检测到用户活动时停止挖矿，从而逃避检测。
黑客采用多种策略来逃避检测
此外，CPR 研究人员发现，该恶意软件包含多种技术，使安全调查更加困难。
例如，如果它检测到自己不是在预期的可执行文件下运行，就可以暂停执行很长时间。
它还会在继续感染之前检查计算机上的键盘语言设置。
该活动的第一个 GitHub 仓库出现在 2026 年 7 月，恶意下载在 8 月底开始出现。
目前，该载荷是一个加密货币挖矿程序，但研究人员警告称，YobaLoader 有可能被用来部署其他类型的恶意软件。
