КриптоЛампа
Фейковые приложения ChatGPT и Claude скрытно майнили Monero
Исследователи Check Point обнаружили кампанию Yoba: под видом настольных версий ChatGPT и Claude распространяли майнер Monero через GitHub и выдачу Google.
Специалисты Check Point 27 октября описали кампанию Yoba, в которой вредоносные программы для скрытого майнинга Monero маскировали под настольные версии ChatGPT и Claude.
Поддельные проекты разместили на GitHub: первый репозиторий появился в июле, заражённые релизы — в конце августа и начале сентября. Ссылки попадали в верхние строки Google; исследователи связывают это с SEO-отравлением — подгонкой названий и описаний под популярные запросы.
В архиве находились легитимный установщик с цифровым сертификатом OpenAI или Anthropic и заражённая библиотека winmm.dll. После запуска настоящего приложения она загружала вредоносный компонент. Тот проверял имя запустившего его процесса и при несоответствии, например в антивирусной песочнице, откладывал работу почти на 13 дней.
Yoba избегала устройств с клавиатурными раскладками 11 языков, включая русский. Загрузчик YobaLoader получал адрес управляющего сервера из аватара Telegram-канала yoba_fanclub, а команды скрывались в DNS-записях и запрашивались через Google DNS-over-HTTPS.
На финальном этапе устанавливался майнер XMRig: он добывал Monero через сеть Tor и приостанавливал работу, когда за компьютером кто-то работал. Эксперты отметили, что загрузчик способен доставлять и другие программы.