Эксперты по кибербезопасности из Check Point Research раскрыли масштабную вредоносную кампанию под названием Yoba, в рамках которой злоумышленники распространяют поддельные десктопные приложения ChatGPT и Claude через GitHub и рекламную выдачу Google. Об этом сообщает РБК-Украина со ссылкой на свежий аналитический отчёт исследовательского подразделения компании. Кампания представляет собой комплексную атаку, сочетающую SEO-манипуляции, социальную инженерию и уязвимости в механизмах доверия операционной системы Windows, что делает её особенно опасной для рядовых пользователей, не обладающих глубокими знаниями в области информационной безопасности.
SEO-отравление и поддельные репозитории как точка входа
Первый этап атаки строится на классической, но крайне эффективной технике SEO-отравления (search engine poisoning). Злоумышленники создают GitHub-репозитории и веб-страницы с названиями, имитирующими актуальные версии популярных ИИ-сервисов — например, «GPT-5.6 Sol» или «Claude Opus». Благодаря оптимизации под поисковые алгоритмы эти мошеннические ресурсы занимают верхние позиции в выдаче Google, выглядя для пользователя как полностью легитимные результаты. Человек, ищущий десктопную версию ChatGPT или Claude, видит на первый взгляд безупречную страницу с описанием, скриншотами и кнопкой загрузки, не подозревая, что перед ним — ловушка. Дополнительный канал распространения — платная рекламная выдача Google, где поддельные ссылки конкурируют с официальными ресурсами разработчиков.
Легитимная подпись и DLL sideloading: как обходят доверие Windows
Ключевой элемент кампании Yoba — использование подлинного цифрового установщика. В загруженный пользователем ZIP-архив включён настоящий файл Setup.exe, подписанный действующим сертификатом OpenAI или Anthropic. Именно эта подпись заставляет Windows считать установщик безопасным и не блокировать его запуск — стандартные предупреждения системы безопасности в данном случае не срабатывают, поскольку файл формально является легитимным. Однако вместе с подлинным Setup.exe в архиве присутствует вредоносная динамическая библиотека winmm.dll. Механизм DLL sideloading позволяет этой библиотеке подгружаться автоматически в процессе установки: Windows, доверяя подписанному исполняемому файлу, не проверяет содержимое сопутствующих DLL-файлов. Таким образом, вредоносный код получает исполнение в контексте доверенного процесса, минуя большинство эвристических и сигнатурных детекторов.
Скрытый криптомайнер и управление через Telegram
После успешной загрузки вредоносная библиотека устанавливает на целевую систему криптомайнер XMRig — популярный инструмент для добычи монеты Monero. Майнинг осуществляется через сеть Tor, что затрудняет трассировку исходящего трафика и маскирует реальный адрес пула. Для минимизации риска обнаружения злоумышленники внедрили механизм адаптивного поведения: майнер автоматически приостанавливает работу, когда пользователь активно взаимодействует с компьютером (нажатия клавиш, движение мыши), и возобновляет добычу в периоды простоя. Командный канал управления построен на двух уровнях: основные инструкции вредонос получает через Telegram-каналы, а резервное и зашифрованное взаимодействие осуществляется посредством DNS-запросов. Такая архитектура позволяет операторам кампании удалённо обновлять конфигурацию, менять пулы майнинга и отключать заражение на конкретных машинах.
Географическая селекция: кто в зоне риска
Анализ поведенческих характеристик вредоноса выявил интересную деталь: программа намеренно избегает заражения компьютеров, на которых настроены клавиатурные раскладки стран СНГ, за исключением Украины. Это указывает на то, что операторы кампании либо целенаправленно исключают часть русскоязычной аудитории из числа жертв (возможно, для снижения вероятности обнаружения атаки в русскоязычном сегменте интернета), либо используют раскладку как прокси-индикатор региона. При этом пользователи из Украины, судя по данным отчёта, не защищены этим фильтром и остаются в зоне риска наравне с остальными. Точные мотивы такой селекции Check Point Research в публичном отчёте не раскрывает.
Рекомендации экспертов: как защитить себя
Специалисты Check Point Research дают ряд практических рекомендаций. Во-первых, загружать официальные приложения ИИ-сервисов следует исключительно из проверенных источников — например, со страницы claude.com/download для Claude или из официального магазина Microsoft Store. Во-вторых, если пользователь уже скачал подозрительный ZIP-архив из GitHub, категорически не рекомендуется его открывать или запускать содержимое. В случае, если установщик был запущен случайно, эксперты советуют немедленно отключить устройство от сети, запустить полный скан антивирусным решением и проверить наличие подозрительных процессов (в частности, XMRig) и записей в автозагрузке. Учитывая, что вредонос использует легитимные цифровые подписи, стандартные антивирусные проверки могут не выявить угрозу, поэтому дополнительным шагом является ручной анализ содержимого распакованного архива и сверка хеш-сумм файлов с официальными значениями, опубликованными разработчиками.
