Кіберзлочинці використовували ажіотаж навколо технологій штучного інтелекту (ШІ) для поширення шкідливого програмного забезпечення для майнінгу криптовалют через фальшиві десктопні додатки, які імітують популярні інструменти ШІ, такі як ChatGPT і Claude.
У нещодавньому звіті постачальник послуг з кібербезпеки Check Point Research (CPR) повідомив, що зловмисники створювали фальшиві репозиторії GitHub, щоб рекламувати фальшиві додатки ШІ, такі як GPT-5.6 Sol, GPT-6 Astra та Claude Opus, серед інших.
Хакери навіть створили спеціальні сайти GitHub.io, які просувають їхні фальшиві додатки ШІ та змушують жертв завантажувати шкідливі файли.
За словами дослідників CPR, зловмисники використовують маніпуляції з пошуковою оптимізацією (SEO), щоб їхні шкідливі сайти займали високі позиції в Google.
Як працює шкідливе програмне забезпечення?
Одним із найбільш тривожних аспектів цієї кампанії є те, як зловмисники використовують легітимні програмні компоненти від OpenAI та Anthropic, щоб маскувати шкідливу діяльність.
Шкідливі ZIP-архіви, які можуть завантажити жертви, містять легітимні цифрово підписані виконувані файли. Ці легітимні виконувані файли постачаються разом зі шкідливими DLL.
Щойно жертви запускають начебто легітимний додаток, шкідлива DLL завантажується без їхнього відома завдяки техніці бічного завантаження DLL.
Це робить виявлення атаки жертвами дуже складним, оскільки шкідливе програмне забезпечення покладається на легітимне програмне забезпечення для запуску свого коду.
Зрештою, атака призводить до встановлення XMRig — майнера криптовалют, який непомітно використовує ресурси жертв для майнінгу цифрових активів для зловмисників.
Цікаво, що шкідливе програмне забезпечення також може зупиняти майнінг щоразу, коли воно виявляє активність користувача, щоб уникнути виявлення.
Хакери застосовують різні тактики, щоб уникнути виявлення
Крім того, дослідники CPR виявили, що шкідливе програмне забезпечення містить кілька технік, які ускладнюють розслідування з боку служб безпеки.
Наприклад, воно може призупинити виконання на дуже тривалий час, якщо виявить, що працює не під очікуваним виконуваним файлом.
Воно також перевіряє налаштування мови клавіатури на комп'ютері, перш ніж продовжити зараження.
Перший репозиторій GitHub для цієї кампанії з'явився в липні 2026 року, а шкідливі завантаження почали з'являтися наприкінці серпня.
Наразі корисне навантаження є майнером криптовалют, але дослідники попередили, що YobaLoader потенційно може використовуватися для розгортання інших типів шкідливого програмного забезпечення.
