Cybersicherheitsexperten von Check Point Research haben eine groß angelegte Schadkampagne namens Yoba aufgedeckt, bei der Angreifer gefälschte Desktop-Anwendungen von ChatGPT und Claude über GitHub und Google-Suchanzeigen verbreiten. Dies berichtet RBC-Ukraine unter Bezugnahme auf einen aktuellen Analysebericht der Forschungsabteilung des Unternehmens. Die Kampagne ist ein komplexer Angriff, der SEO-Manipulationen, Social Engineering und Schwachstellen in den Vertrauensmechanismen des Betriebssystems Windows kombiniert, was sie besonders gefährlich für normale Anwender macht, die nicht über tiefgehende Kenntnisse im Bereich der Informationssicherheit verfügen.
SEO-Poisoning und gefälschte Repositorien als Einstiegspunkt
Die erste Phase des Angriffs basiert auf einer klassischen, aber äußerst effektiven Technik des SEO-Poisoning (Suchmaschinenmanipulation). Angreifer erstellen GitHub-Repositorien und Webseiten mit Namen, die aktuelle Versionen beliebter KI-Dienste imitieren — beispielsweise „GPT-5.6 Sol“ oder „Claude Opus“. Dank Suchmaschinenoptimierung landen diese betrügerischen Ressourcen ganz oben in den Google-Ergebnissen und wirken auf den Nutzer wie völlig legitime Treffer. Wer nach einer Desktop-Version von ChatGPT oder Claude sucht, sieht auf den ersten Blick eine makellose Seite mit Beschreibung, Screenshots und Download-Button, ohne zu ahnen, dass es sich um eine Falle handelt. Ein zusätzlicher Verbreitungskanal ist die bezahlte Google-Werbung, bei der gefälschte Links mit offiziellen Entwicklerressourcen konkurrieren.
Legitime Signatur und DLL-Sideloading: Wie das Windows-Vertrauen umgangen wird
Ein Schlüsselelement der Yoba-Kampagne ist die Verwendung eines echten digitalen Installers. Das vom Nutzer heruntergeladene ZIP-Archiv enthält eine echte Setup.exe-Datei, die mit einem gültigen Zertifikat von OpenAI oder Anthropic signiert ist. Genau diese Signatur bringt Windows dazu, das Installationsprogramm als sicher einzustufen und dessen Ausführung nicht zu blockieren — standardmäßige Sicherheitswarnungen greifen hier nicht, da die Datei formal legitim ist. Zusammen mit der authentischen Setup.exe befindet sich jedoch die schädliche dynamische Bibliothek winmm.dll im Archiv. Der Mechanismus des DLL-Sideloading sorgt dafür, dass diese Bibliothek während des Installationsprozesses automatisch nachgeladen wird: Windows vertraut der signierten ausführbaren Datei und überprüft den Inhalt der begleitenden DLL-Dateien nicht. Auf diese Weise wird der Schadcode im Kontext eines vertrauenswürdigen Prozesses ausgeführt, wodurch die meisten heuristischen und signaturbasierten Erkennungssysteme umgangen werden.
Versteckter Kryptominer und Steuerung über Telegram
Nach dem erfolgreichen Laden installiert die schädliche Bibliothek den Kryptominer XMRig auf dem Zielsystem — ein beliebtes Tool zum Schürfen der Währung Monero. Das Mining erfolgt über das Tor-Netzwerk, was die Verfolgung des ausgehenden Datenverkehrs erschwert und die echte Pool-Adresse maskiert. Zur Minimierung des Entdeckungsrisikos haben die Angreifer einen Mechanismus für adaptives Verhalten implementiert: Der Miner pausiert automatisch, wenn der Nutzer aktiv mit dem Computer arbeitet (Tastenanschläge, Mausbewegungen), und nimmt das Schürfen in Leerlaufzeiten wieder auf. Der Befehls- und Kontrollkanal ist zweistufig aufgebaut: Primäre Anweisungen erhält die Schadsoftware über Telegram-Kanäle, während die redundante und verschlüsselte Kommunikation über DNS-Abfragen erfolgt. Diese Architektur ermöglicht es den Betreibern der Kampagne, die Konfiguration remote zu aktualisieren, Mining-Pools zu wechseln und die Infektion auf bestimmten Rechnern abzuschalten.
Geografische Selektion: Wer in der Risikozone ist
Eine Analyse des Verhaltens der Schadsoftware ergab ein interessantes Detail: Das Programm vermeidet absichtlich die Infektion von Computern, auf denen Tastaturlayouts von GUS-Staaten mit Ausnahme der Ukraine eingerichtet sind. Dies deutet darauf hin, dass die Betreiber entweder gezielt einen Teil des russischsprachigen Publikums von den Opfern ausschließen (möglicherweise um die Wahrscheinlichkeit einer Entdeckung im russischsprachigen Internetsegment zu verringern) oder das Layout als Proxy-Indikator für die Region verwenden. Nutzer aus der Ukraine sind dem Bericht zufolge jedoch durch diesen Filter nicht geschützt und bleiben neben allen anderen in der Risikozone. Die genauen Motive für diese Selektion nennt Check Point Research in seinem öffentlichen Bericht nicht.
Empfehlungen von Experten: Wie Sie sich schützen können
Die Spezialisten von Check Point Research geben eine Reihe praktischer Empfehlungen. Erstens sollten offizielle KI-Anwendungs-Apps ausschließlich aus verifizierten Quellen heruntergeladen werden — wie etwa von claude.com/download für Claude oder aus dem offiziellen Microsoft Store. Zweitens wird dringend davon abgeraten, ein verdächtiges ZIP-Archiv von GitHub zu öffnen oder dessen Inhalt auszuführen, falls es bereits heruntergeladen wurde. Sollte das Installationsprogramm versehentlich gestartet worden sein, raten Experten, das Gerät sofort vom Netzwerk zu trennen, einen vollständigen Antiviren-Scan durchzuführen und nach verdächtigen Prozessen (insbesondere XMRig) sowie Autostart-Einträgen zu suchen. Da die Schadsoftware legitime digitale Signaturen verwendet, schlagen Standard-Antivirenprüfungen möglicherweise nicht an; daher ist ein zusätzlicher Schritt die manuelle Analyse des Inhalts des entpackten Archivs und der Abgleich von Datei-Hashes mit den offiziellen Werten der Entwickler.
