---
title: "Yoba-Kampagne: Hacker infizieren PCs mit gefälschten ChatGPT- und Claude-Installationsprogrammen und umgehen den Windows-Schutz"
description: "Check Point Research hat die Yoba-Kampagne aufgedeckt: Hacker verbreiten gefälschte ChatGPT- und Claude-Installationsprogramme über GitHub und Google und nutzen dabei legitime digitale Signaturen sowie den versteckten XMRig-Kryptominer unter Telegram-Steuerung."
date: 2026-10-30T10:18:42.740Z
lang: de
url: https://xab.info/de/posts/yoba-kampagne-gefaelschte-chatgpt-claude-installer
tags: [cybersecurity, chatgpt, claude, github, malware, crypto-miner, check-point, dll-sideloading]
author: "Alexander Buran, Roman V."
publisher: "XAB.info"
---

# Yoba-Kampagne: Hacker infizieren PCs mit gefälschten ChatGPT- und Claude-Installationsprogrammen und umgehen den Windows-Schutz

![Laptop mit geöffnetem GitHub-Browser und gefälschten ChatGPT- und Claude-Installationsprogrammen auf dem Bildschirm](https://xab.info/media/2026/10/30/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude-1.webp)

## Kernpunkte

- Die Yoba-Kampagne verbreitet gefälschte Desktop-Apps von ChatGPT und Claude über GitHub-Repositorien und SEO-manipulierte Google-Suchergebnisse
- Die Schadsoftware nutzt eine echte signierte Setup.exe von OpenAI/Anthropic in Kombination mit einer schädlichen winmm.dll zur Umgehung des Windows-Schutzes
- Nach der Installation wird der XMRig-Kryptominer über Tor gestartet, gesteuert über Telegram-Kanäle und verschlüsselte DNS-Abfragen
- Die Schadsoftware meidet gezielt Systeme mit Tastaturlayouts von GUS-Staaten, mit Ausnahme der Ukraine
- Experten empfehlen, KI-Apps nur aus offiziellen Quellen herunterzuladen und verdächtige ZIP-Archive nicht zu öffnen

Cybersicherheitsexperten von Check Point Research haben eine groß angelegte Schadkampagne namens Yoba aufgedeckt, bei der Angreifer gefälschte Desktop-Anwendungen von ChatGPT und Claude über GitHub und Google-Suchanzeigen verbreiten. Dies berichtet RBC-Ukraine unter Bezugnahme auf einen aktuellen Analysebericht der Forschungsabteilung des Unternehmens. Die Kampagne ist ein komplexer Angriff, der SEO-Manipulationen, Social Engineering und Schwachstellen in den Vertrauensmechanismen des Betriebssystems Windows kombiniert, was sie besonders gefährlich für normale Anwender macht, die nicht über tiefgehende Kenntnisse im Bereich der Informationssicherheit verfügen.

### SEO-Poisoning und gefälschte Repositorien als Einstiegspunkt

Die erste Phase des Angriffs basiert auf einer klassischen, aber äußerst effektiven Technik des SEO-Poisoning (Suchmaschinenmanipulation). Angreifer erstellen GitHub-Repositorien und Webseiten mit Namen, die aktuelle Versionen beliebter KI-Dienste imitieren — beispielsweise „GPT-5.6 Sol“ oder „Claude Opus“. Dank Suchmaschinenoptimierung landen diese betrügerischen Ressourcen ganz oben in den Google-Ergebnissen und wirken auf den Nutzer wie völlig legitime Treffer. Wer nach einer Desktop-Version von ChatGPT oder Claude sucht, sieht auf den ersten Blick eine makellose Seite mit Beschreibung, Screenshots und Download-Button, ohne zu ahnen, dass es sich um eine Falle handelt. Ein zusätzlicher Verbreitungskanal ist die bezahlte Google-Werbung, bei der gefälschte Links mit offiziellen Entwicklerressourcen konkurrieren.

### Legitime Signatur und DLL-Sideloading: Wie das Windows-Vertrauen umgangen wird

Ein Schlüsselelement der Yoba-Kampagne ist die Verwendung eines echten digitalen Installers. Das vom Nutzer heruntergeladene ZIP-Archiv enthält eine echte Setup.exe-Datei, die mit einem gültigen Zertifikat von OpenAI oder Anthropic signiert ist. Genau diese Signatur bringt Windows dazu, das Installationsprogramm als sicher einzustufen und dessen Ausführung nicht zu blockieren — standardmäßige Sicherheitswarnungen greifen hier nicht, da die Datei formal legitim ist. Zusammen mit der authentischen Setup.exe befindet sich jedoch die schädliche dynamische Bibliothek winmm.dll im Archiv. Der Mechanismus des DLL-Sideloading sorgt dafür, dass diese Bibliothek während des Installationsprozesses automatisch nachgeladen wird: Windows vertraut der signierten ausführbaren Datei und überprüft den Inhalt der begleitenden DLL-Dateien nicht. Auf diese Weise wird der Schadcode im Kontext eines vertrauenswürdigen Prozesses ausgeführt, wodurch die meisten heuristischen und signaturbasierten Erkennungssysteme umgangen werden.

### Versteckter Kryptominer und Steuerung über Telegram

Nach dem erfolgreichen Laden installiert die schädliche Bibliothek den Kryptominer XMRig auf dem Zielsystem — ein beliebtes Tool zum Schürfen der Währung Monero. Das Mining erfolgt über das Tor-Netzwerk, was die Verfolgung des ausgehenden Datenverkehrs erschwert und die echte Pool-Adresse maskiert. Zur Minimierung des Entdeckungsrisikos haben die Angreifer einen Mechanismus für adaptives Verhalten implementiert: Der Miner pausiert automatisch, wenn der Nutzer aktiv mit dem Computer arbeitet (Tastenanschläge, Mausbewegungen), und nimmt das Schürfen in Leerlaufzeiten wieder auf. Der Befehls- und Kontrollkanal ist zweistufig aufgebaut: Primäre Anweisungen erhält die Schadsoftware über Telegram-Kanäle, während die redundante und verschlüsselte Kommunikation über DNS-Abfragen erfolgt. Diese Architektur ermöglicht es den Betreibern der Kampagne, die Konfiguration remote zu aktualisieren, Mining-Pools zu wechseln und die Infektion auf bestimmten Rechnern abzuschalten.

### Geografische Selektion: Wer in der Risikozone ist

Eine Analyse des Verhaltens der Schadsoftware ergab ein interessantes Detail: Das Programm vermeidet absichtlich die Infektion von Computern, auf denen Tastaturlayouts von GUS-Staaten mit Ausnahme der Ukraine eingerichtet sind. Dies deutet darauf hin, dass die Betreiber entweder gezielt einen Teil des russischsprachigen Publikums von den Opfern ausschließen (möglicherweise um die Wahrscheinlichkeit einer Entdeckung im russischsprachigen Internetsegment zu verringern) oder das Layout als Proxy-Indikator für die Region verwenden. Nutzer aus der Ukraine sind dem Bericht zufolge jedoch durch diesen Filter nicht geschützt und bleiben neben allen anderen in der Risikozone. Die genauen Motive für diese Selektion nennt Check Point Research in seinem öffentlichen Bericht nicht.

### Empfehlungen von Experten: Wie Sie sich schützen können

Die Spezialisten von Check Point Research geben eine Reihe praktischer Empfehlungen. Erstens sollten offizielle KI-Anwendungs-Apps ausschließlich aus verifizierten Quellen heruntergeladen werden — wie etwa von claude.com/download für Claude oder aus dem offiziellen Microsoft Store. Zweitens wird dringend davon abgeraten, ein verdächtiges ZIP-Archiv von GitHub zu öffnen oder dessen Inhalt auszuführen, falls es bereits heruntergeladen wurde. Sollte das Installationsprogramm versehentlich gestartet worden sein, raten Experten, das Gerät sofort vom Netzwerk zu trennen, einen vollständigen Antiviren-Scan durchzuführen und nach verdächtigen Prozessen (insbesondere XMRig) sowie Autostart-Einträgen zu suchen. Da die Schadsoftware legitime digitale Signaturen verwendet, schlagen Standard-Antivirenprüfungen möglicherweise nicht an; daher ist ein zusätzlicher Schritt die manuelle Analyse des Inhalts des entpackten Archivs und der Abgleich von Datei-Hashes mit den offiziellen Werten der Entwickler.

## Faktencheck und Quellen

- [Фейковые ChatGPT и Claude заражают ПК: как мошенники обходят защиту Windows](https://www.rbc.ua/ukr/news/feykovi-chatgpt-i-claude-zarazhayut-pk-k-1793352335.html) - Die Primärquelle enthält eine vollständige technische Analyse der Yoba-Kampagne: SEO-Poisoning-Mechanismus, DLL-Sideloading über winmm.dll, XMRig-Kryptominer über Tor, C2 über Telegram sowie geografische Selektion nach Layouts. Alle Fakten des Artikels wurden mit dem Quelltext abgeglichen.

## Häufige Fragen

### Was ist die Yoba-Kampagne?

Yoba ist eine Schadkampagne, bei der Hacker gefälschte Installationsprogramme für Desktop-Versionen von ChatGPT und Claude über GitHub und Google-Suchergebnisse verbreiten. Das Ziel ist die Infektion von Benutzercomputern mit dem versteckten XMRig-Kryptominer.

### Warum blockiert der Standard-Windows-Schutz den gefälschten Installer nicht?

Das ZIP-Archiv enthält eine echte Setup.exe-Datei, die mit einem gültigen digitalen Zertifikat von OpenAI oder Anthropic signiert ist. Windows vertraut der signierten Datei und blockiert sie nicht. Die schädliche winmm.dll-Bibliothek wird während der Installation über den DLL-Sideloading-Mechanismus automatisch nachgeladen.

### Wie verbirgt die Schadsoftware das Mining?

Der XMRig-Kryptominer arbeitet über das Tor-Netzwerk und pausiert das Schürfen automatisch, wenn der Nutzer aktiv am Computer arbeitet (Tastenanschläge, Mausbewegungen). Steuerungsbefehle erfolgen über Telegram-Kanäle und verschlüsselte DNS-Abfragen.

### Wer befindet sich in der Risikozone?

Alle Nutzer, die Desktop-Versionen von KI-Diensten aus den Google-Suchergebnissen oder von GitHub herunterladen. Die Schadsoftware meidet absichtlich Systeme mit Tastaturlayouts aus GUS-Staaten mit Ausnahme der Ukraine, weshalb Nutzer aus der Ukraine durch diesen Filter nicht geschützt sind.

### Was soll ich tun, wenn ich ein verdächtiges Archiv bereits heruntergeladen habe?

Den Inhalt des Archivs weder öffnen noch ausführen. Falls das Installationsprogramm versehentlich gestartet wurde: Sofort das Gerät vom Netzwerk trennen, einen vollständigen Antiviren-Scan durchführen und auf den XMRig-Prozess sowie Autostart-Einträge prüfen. Offizielle Anwendungen sollten nur aus verifizierten Quellen wie claude.com/download oder dem Microsoft Store bezogen werden.