---
title: "Кампания Yoba: хакеры заражают ПК поддельными установщиками ChatGPT и Claude, обходя защиту Windows"
description: "Check Point Research раскрыла кампанию Yoba: хакеры распространяют поддельные установщики ChatGPT и Claude через GitHub и Google, используя легитимные цифровые подписи и скрытый криптомайнер XMRig под управлением Telegram."
date: 2026-10-30T10:18:42.740Z
lang: ru
url: https://xab.info/posts/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude
tags: [cybersecurity, chatgpt, claude, github, malware, crypto-miner, check-point, dll-sideloading]
author: "Александр Буран, Роман В."
publisher: "XAB.info"
---

# Кампания Yoba: хакеры заражают ПК поддельными установщиками ChatGPT и Claude, обходя защиту Windows

![Ноутбук с открытым браузером GitHub и поддельными установщиками ChatGPT и Claude на экране](https://xab.info/media/2026/10/30/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude-1.webp)

## Ключевые тезисы

- Кампания Yoba распространяет поддельные десктопные приложения ChatGPT и Claude через GitHub-репозитории и SEO-отравленную выдачу Google
- Вредонос использует подлинный подписанный Setup.exe от OpenAI/Anthropic в сочетании с malicious winmm.dll для обхода защиты Windows
- После установки запускается криптомайнер XMRig через Tor, управляемый через Telegram-каналы и зашифрованные DNS-запросы
- Вредонос намеренно избегает систем с клавиатурными раскладками стран СНГ, кроме Украины
- Эксперты рекомендуют загружать ИИ-приложения только из официальных источников и не открывать подозрительные ZIP-архивы

Эксперты по кибербезопасности из Check Point Research раскрыли масштабную вредоносную кампанию под названием Yoba, в рамках которой злоумышленники распространяют поддельные десктопные приложения ChatGPT и Claude через GitHub и рекламную выдачу Google. Об этом сообщает РБК-Украина со ссылкой на свежий аналитический отчёт исследовательского подразделения компании. Кампания представляет собой комплексную атаку, сочетающую SEO-манипуляции, социальную инженерию и уязвимости в механизмах доверия операционной системы Windows, что делает её особенно опасной для рядовых пользователей, не обладающих глубокими знаниями в области информационной безопасности.

### SEO-отравление и поддельные репозитории как точка входа

Первый этап атаки строится на классической, но крайне эффективной технике SEO-отравления (search engine poisoning). Злоумышленники создают GitHub-репозитории и веб-страницы с названиями, имитирующими актуальные версии популярных ИИ-сервисов — например, «GPT-5.6 Sol» или «Claude Opus». Благодаря оптимизации под поисковые алгоритмы эти мошеннические ресурсы занимают верхние позиции в выдаче Google, выглядя для пользователя как полностью легитимные результаты. Человек, ищущий десктопную версию ChatGPT или Claude, видит на первый взгляд безупречную страницу с описанием, скриншотами и кнопкой загрузки, не подозревая, что перед ним — ловушка. Дополнительный канал распространения — платная рекламная выдача Google, где поддельные ссылки конкурируют с официальными ресурсами разработчиков.

### Легитимная подпись и DLL sideloading: как обходят доверие Windows

Ключевой элемент кампании Yoba — использование подлинного цифрового установщика. В загруженный пользователем ZIP-архив включён настоящий файл Setup.exe, подписанный действующим сертификатом OpenAI или Anthropic. Именно эта подпись заставляет Windows считать установщик безопасным и не блокировать его запуск — стандартные предупреждения системы безопасности в данном случае не срабатывают, поскольку файл формально является легитимным. Однако вместе с подлинным Setup.exe в архиве присутствует вредоносная динамическая библиотека winmm.dll. Механизм DLL sideloading позволяет этой библиотеке подгружаться автоматически в процессе установки: Windows, доверяя подписанному исполняемому файлу, не проверяет содержимое сопутствующих DLL-файлов. Таким образом, вредоносный код получает исполнение в контексте доверенного процесса, минуя большинство эвристических и сигнатурных детекторов.

### Скрытый криптомайнер и управление через Telegram

После успешной загрузки вредоносная библиотека устанавливает на целевую систему криптомайнер XMRig — популярный инструмент для добычи монеты Monero. Майнинг осуществляется через сеть Tor, что затрудняет трассировку исходящего трафика и маскирует реальный адрес пула. Для минимизации риска обнаружения злоумышленники внедрили механизм адаптивного поведения: майнер автоматически приостанавливает работу, когда пользователь активно взаимодействует с компьютером (нажатия клавиш, движение мыши), и возобновляет добычу в периоды простоя. Командный канал управления построен на двух уровнях: основные инструкции вредонос получает через Telegram-каналы, а резервное и зашифрованное взаимодействие осуществляется посредством DNS-запросов. Такая архитектура позволяет операторам кампании удалённо обновлять конфигурацию, менять пулы майнинга и отключать заражение на конкретных машинах.

### Географическая селекция: кто в зоне риска

Анализ поведенческих характеристик вредоноса выявил интересную деталь: программа намеренно избегает заражения компьютеров, на которых настроены клавиатурные раскладки стран СНГ, за исключением Украины. Это указывает на то, что операторы кампании либо целенаправленно исключают часть русскоязычной аудитории из числа жертв (возможно, для снижения вероятности обнаружения атаки в русскоязычном сегменте интернета), либо используют раскладку как прокси-индикатор региона. При этом пользователи из Украины, судя по данным отчёта, не защищены этим фильтром и остаются в зоне риска наравне с остальными. Точные мотивы такой селекции Check Point Research в публичном отчёте не раскрывает.

### Рекомендации экспертов: как защитить себя

Специалисты Check Point Research дают ряд практических рекомендаций. Во-первых, загружать официальные приложения ИИ-сервисов следует исключительно из проверенных источников — например, со страницы claude.com/download для Claude или из официального магазина Microsoft Store. Во-вторых, если пользователь уже скачал подозрительный ZIP-архив из GitHub, категорически не рекомендуется его открывать или запускать содержимое. В случае, если установщик был запущен случайно, эксперты советуют немедленно отключить устройство от сети, запустить полный скан антивирусным решением и проверить наличие подозрительных процессов (в частности, XMRig) и записей в автозагрузке. Учитывая, что вредонос использует легитимные цифровые подписи, стандартные антивирусные проверки могут не выявить угрозу, поэтому дополнительным шагом является ручной анализ содержимого распакованного архива и сверка хеш-сумм файлов с официальными значениями, опубликованными разработчиками.

## Проверка фактов и источники

- [Фейковые ChatGPT и Claude заражают ПК: как мошенники обходят защиту Windows](https://www.rbc.ua/ukr/news/feykovi-chatgpt-i-claude-zarazhayut-pk-k-1793352335.html) - Первоисточник содержит полный технический разбор кампании Yoba: механизм SEO-отравления, DLL sideloading через winmm.dll, криптомайнер XMRig через Tor, C2 через Telegram, географическую селекцию по раскладкам. Все факты статьи сверены с текстом источника.

## Частые вопросы

### Что такое кампания Yoba?

Yoba — вредоносная кампания, в рамках которой хакеры распространяют поддельные установщики десктопных версий ChatGPT и Claude через GitHub и поисковую выдачу Google. Цель — заражение компьютеров пользователей скрытым криптомайнером XMRig.

### Почему стандартная защита Windows не блокирует поддельный установщик?

В ZIP-архиве содержится подлинный файл Setup.exe, подписанный действующим цифровым сертификатом OpenAI или Anthropic. Windows доверяет подписанному файлу и не блокирует его. Вредоносная библиотека winmm.dll подгружается автоматически во время установки через механизм DLL sideloading.

### Как вредонос скрывает майнинг?

Криптомайнер XMRig работает через сеть Tor и автоматически приостанавливает добычу, когда пользователь активно работает за компьютером (нажатия клавиш, движение мыши). Команды управления поступают через Telegram-каналы и зашифрованные DNS-запросы.

### Кто находится в зоне риска?

Все пользователи, скачивающие десктопные версии ИИ-сервисов из поисковой выдачи Google или GitHub. Вредонос намеренно избегает систем с клавиатурными раскладками стран СНГ, за исключением Украины, поэтому пользователи из Украины не защищены этим фильтром.

### Что делать, если я уже скачал подозрительный архив?

Не открывать и не запускать содержимое архива. Если установщик был запущен случайно — немедленно отключить устройство от сети, запустить полный антивирусный скан и проверить наличие процесса XMRig и записей в автозагрузке. Загружать официальные приложения следует только из проверенных источников: claude.com/download или Microsoft Store.