Campanha 'Yoba' usa falsos apps de ChatGPT e Claude com DLL sideloading para instalar minerador de criptomoeda
Uma campanha identificada pela Check Point Research, batizada de Yoba, distribui aplicativos desktop falsos de IA (como 'GPT-5.6 Sol', 'GPT-6 Astra' e 'Claude Opus') por meio de repositórios GitHub e páginas GitHub.io otimizadas para SEO, enganando buscadores e usuários. O pacote distribuído contém um executável legítimo e assinado da OpenAI ou da Anthropic ao lado de uma DLL maliciosa carregada por sideloading, que inicia uma cadeia de múltiplos estágios com checagens anti-análise, um algoritmo de geração de domínios alimentado por uma imagem hospedada no Telegram e comandos entregues via DNS-over-HTTPS, culminando na injeção de um minerador XMRig no processo svchost.exe.
O vetor de entrada da campanha explora diretamente a confiança crescente do público em assistentes de IA: os atacantes criam repositórios e páginas GitHub.io descrevendo aplicativos desktop fictícios para ChatGPT e Claude, com nomes verossímeis como 'GPT-5.6 Sol' e 'Claude Opus', e usam técnicas de SEO poisoning para que essas páginas apareçam bem posicionadas em buscas por 'baixar ChatGPT desktop' ou equivalentes, aumentando a chance de que vítimas cheguem até elas organicamente em vez de por phishing direcionado.
Tecnicamente, o truque central é o DLL sideloading: o arquivo ZIP distribuído contém um Setup.exe genuíno e assinado digitalmente pela OpenAI ou pela Anthropic, posicionado ao lado de uma DLL maliciosa chamada winmm.dll (o YobaDropper). Como o Windows resolve certas DLLs pelo diretório local antes do sistema, o executável legítimo acaba carregando o código malicioso sem que nenhuma assinatura inválida ou alerta apareça — a cadeia de confiança do binário assinado é preservada, mas o comportamento em execução não é mais o do software original. O YobaDropper só executa sua carga se detectar, via hash do nome do processo pai, que foi carregado especificamente pelo Setup.exe, uma checagem simples porém eficaz contra sandboxes de análise automatizada que não replicam esse contexto de execução.
A cadeia continua com uma segunda camada de sideloading, copiando o utilitário legítimo wmpdmc.exe do System32 para uma pasta 'WMProcess' em ProgramData e associando-o a outra DLL maliciosa (ampdui.dll, o YobaLoader), com persistência garantida por tarefas agendadas. O YobaLoader repete a mesma checagem de processo pai e então baixa uma imagem de um canal do Telegram (t.me/yoba_fanclub), usa os últimos 50 bytes dessa imagem como semente para um algoritmo de geração de domínios no formato 'adjetivo-substantivo-verbo-dígito.dedyn.io', e consulta a API de DNS-over-HTTPS do Google para recuperar comandos em registros TXT codificados em Base64 — uma cadeia de infraestrutura de comando e controle desenhada para se camuflar em tráfego de serviços legítimos (Telegram e DNS do Google) e dificultar bloqueio por reputação de domínio.
O estágio final injeta o minerador de criptomoeda XMRig dentro do processo svchost.exe, abusando de um processo do sistema para mascarar o consumo de CPU e dificultar a identificação pela vítima. O malware ainda inclui extensas medidas anti-análise, como centenas de milhares de chamadas de sleep que somam quase 13 dias de espera simulada e exclusões geográficas por layout de teclado. Na prática, o caso mostra como a popularidade de assistentes de IA virou isca eficaz para malware tradicional (criptomineração), e como assinaturas digitais legítimas — tradicionalmente um sinal de confiança — podem ser neutralizadas por sideloading, reforçando que verificação de hash do pacote completo e origem do download importam mais do que a presença isolada de um executável assinado.