Les cybercriminels utilisent l'engouement autour des technologies d'intelligence artificielle (IA) pour distribuer un logiciel malveillant de minage de cryptomonnaies via de fausses applications de bureau qui imitent des outils d'IA populaires comme ChatGPT et Claude.
Dans un récent rapport, le fournisseur de cybersécurité Check Point Research (CPR) a indiqué que les acteurs malveillants ont mis en place de faux dépôts GitHub pour faire la promotion de fausses applications d'IA comme GPT-5.6 Sol, GPT-6 Astra et Claude Opus, entre autres.
Les pirates ont même créé des sites GitHub.io dédiés qui font la promotion de leurs fausses applications d'IA et incitent les victimes à télécharger des fichiers malveillants.
Selon les chercheurs de CPR, les attaquants utilisent la manipulation du référencement (SEO) pour faire en sorte que leurs sites malveillants se classent en bonne position sur Google.
Comment le logiciel malveillant fonctionne-t-il ?
L'un des aspects les plus inquiétants de cette campagne est la manière dont les attaquants utilisent des composants logiciels légitimes d'OpenAI et d'Anthropic pour masquer une activité malveillante.
Les archives ZIP malveillantes que les victimes peuvent télécharger contiennent des fichiers exécutables légitimes signés numériquement. Ces exécutables légitimes sont fournis avec des DLL malveillantes.
Une fois que les victimes exécutent l'application apparemment légitime, la DLL malveillante est chargée à leur insu, grâce à la technique du chargement latéral de DLL (DLL sideloading).
Cela rend très difficile pour les victimes de repérer l'attaque, car le logiciel malveillant s'appuie sur un logiciel légitime pour exécuter son code.
En fin de compte, l'attaque conduit à l'installation de XMRig, un mineur de cryptomonnaies qui utilise discrètement les ressources des victimes pour miner des actifs numériques au profit des attaquants.
Fait intéressant, le logiciel malveillant peut également arrêter le minage dès qu'il détecte une activité de l'utilisateur, afin de pouvoir échapper à la détection.
Les pirates emploient diverses tactiques pour éviter la détection
De plus, les chercheurs de CPR ont découvert que le logiciel malveillant comprend plusieurs techniques visant à rendre les investigations de sécurité plus difficiles.
Par exemple, il peut suspendre son exécution pendant très longtemps s'il détecte qu'il ne s'exécute pas sous le fichier exécutable attendu.
Il vérifie également le paramètre de langue du clavier sur un ordinateur avant de poursuivre l'infection.
Le premier dépôt GitHub de la campagne est apparu en juillet 2026, et les téléchargements malveillants ont commencé à faire surface à la fin du mois d'août.
Pour le moment, la charge utile est un mineur de cryptomonnaies, mais les chercheurs ont averti que YobaLoader pourrait potentiellement être utilisé pour déployer d'autres types de logiciels malveillants.
