Кампания Yoba распространяет загрузчики и криптомайнер XMRig под видом настольных приложений для OpenAI ChatGPT и Anthropic Claude. Для запуска вредоносного кода операторы используют легитимные подписанные исполняемые файлы и технику DLL sideloading.
По данным Check Point Research, злоумышленники создали на GitHub поддельные проекты, заявленные как приложения GPT-5.6 Sol, GPT-6 Astra и Claude Opus. В репозиториях размещены ZIP-архивы с компонентами цепочки заражения. Чтобы придать проектам видимость легитимности, операторы также добавили страницы на GitHub[.]io с описанием возможностей якобы ИИ-программ.
Исследователи не нашли признаков накрутки популярности репозиториев через «призрачные сети». При этом они отметили признаки SEO-поизонинга: ссылки на вредоносные страницы могли занимать высокие позиции в выдаче Google. Среди обнаруженных репозиториев и страниц — gpt-5-6/sol-free-desktop, gpt-5-6[.]github[.]io, gpt-6-astra/gpt-6-astra.github.io и opus-5-0/opus-5-0.github.io.
Каждый репозиторий использовал отдельный адрес электронной почты: edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com и rioprestonlfyx[@]outlook[.]com. По наблюдениям Check Point, аккаунты, загружавшие файлы, работали в часовых поясах UTC+4, UTC-4 и UTC+3 соответственно. Исследователи считают, что такая несогласованность может быть попыткой скрыть реальный часовой пояс оператора.
В архивах находятся как минимум два ключевых компонента: Setup.exe — легитимный подписанный исполняемый файл OpenAI Codex или Claude — и вредоносная библиотека winmm.dll. При запуске Setup.exe загружает DLL из собственного каталога, что позволяет применить DLL sideloading.
Библиотека, получившая обозначение YobaDropper, выполняет роль дроппера. Она хеширует базовое имя процесса-хоста и сопоставляет результат со значением 0xE6C2F326. Проверка проходит только для имени Setup.exe: при самостоятельном запуске DLL, в том числе в песочнице, выполнение завершается ошибкой.
В код встроены и другие механизмы против анализа. Дроппер вызывает Sleep(5500) 200 000 раз, что суммарно соответствует задержке примерно на 12,73 дня. Кроме того, он не заражает системы, где активна раскладка клавиатуры России, Беларуси, Таджикистана, Армении, Азербайджана, Грузии, Казахстана, Кыргызстана, Туркменистана или Узбекистана. В исключения добавлен татарский язык. Украины в этом списке нет, хотя ее исторически нередко включали в подобные проверки.
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Для российских организаций это ограничение существенно: в описанной версии вредоносного ПО системы с соответствующей российской раскладкой пропускаются. Но это особенность конкретных образцов, а не гарантия отсутствия риска от поддельных ИИ-приложений в целом.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
После запуска YobaDropper разворачивает вторую цепочку DLL sideloading. Он копирует wmpdmc.exe из System32, создает каталог ProgramData\WMProcess и помещает туда исполняемый файл. Затем дроппер извлекает и расшифровывает встроенную полезную нагрузку, сохраняя ее в том же каталоге как DLL. На этой стадии в исследовании указаны имена ampdui.dll и, далее по описанию, wmpdui.dll.
Вторая DLL, YobaLoader, использует похожую защиту от песочниц. Она проверяет, что хостом выступает именно wmpdmc.exe: хеш имени должен совпасть со встроенным значением 0x552751E3. После этого загрузчик выполняет три операции.
Сначала он скачивает изображение из Telegram-канала t[.]me/yoba_fanclub. Последние 50 байт файла используются как начальное значение для генерации домена. Затем на основе трех словарных списков — прилагательных, существительных и глаголов — и числа от 0 до 999 формируется домен по шаблону «прилагательное-существительное-глагол-цифра.dedyn[.]io». Наконец, YobaLoader обращается к Google DNS-over-HTTPS API и запрашивает TXT-запись для сгенерированного домена. В этой записи содержится команда в Base64.
После расшифровки ответа загрузчик получает адрес следующей нагрузки: files[.]catbox[.]moe/z5zpy9.dat. По оценке Check Point Research, DoH и распространенные файлообменные сервисы помогают смешивать управляющий трафик с обычной активностью и усложняют его обнаружение средствами пассивного DNS-мониторинга и частью защитных решений на шлюзе. Полученная нагрузка внедряется в процесс svchost.exe и запускает криптомайнер XMRig.
Первый связанный с кампанией GitHub-репозиторий, как установили исследователи, был создан приблизительно в июле 2026 года. Вредоносные версии файлов появились там только в конце августа. В ранних вариантах YobaLoader из заражения исключалась только Россия; также в них был расширенный набор антиотладочных проверок и проверок на виртуальную среду. В более новых версиях эти механизмы удалили, а перечень исключаемых раскладок расширили.
Кампания опирается на доверие к известным ИИ-сервисам, подписанным исполняемым файлам и GitHub как площадке размещения. Это может снизить вероятность того, что пользователь или базовые проверки сразу сочтут ZIP-архив подозрительным.
Практический вывод: не следует устанавливать неофициальные «настольные» версии ChatGPT, Claude и других ИИ-сервисов из поисковой выдачи или сторонних GitHub-репозиториев. При расследовании стоит проверить загрузку DLL рядом с Setup.exe, появление каталога ProgramData\WMProcess, запланированные задачи, запускающие wmpdmc.exe, а также обращения к указанным Telegram-, DoH- и файлообменным ресурсам. Ограничение по раскладке в известных образцах не отменяет контроля этих признаков: состав проверок между версиями Yoba уже менялся.