Експерти з кібербезпеки з Check Point Research розкрили масштабну шкідливу кампанію під назвою Yoba, в рамках якої зловмисники поширюють піддельні десктопні додатки ChatGPT і Claude через GitHub та рекламну видачу Google. Про це повідомляє РБК-Україна з посиланням на свіжий аналітичний звіт дослідницького підрозділу компанії. Кампанія є комплексною атакою, що поєднує SEO-маніпуляції, соціальну інженерію та вразливості в механізмах довіри операційної системи Windows, що робить її особливо небезпечною для пересічних користувачів, які не мають глибоких знань у галузі інформаційної безпеки.
SEO-отруєння та підроблені репозиторії як точка входу
Перший етап атаки будується на класичній, але вкрай ефективній техніці SEO-отруєння (search engine poisoning). Зловмисники створюють GitHub-репозиторії та вебсторінки з назвами, що імітують актуальні версії популярних штучних інтелектів — наприклад, «GPT-5.6 Sol» або «Claude Opus». Завдяки оптимізації під пошукові алгоритми ці шахрайські ресурси займають верхні позиції у видачі Google, виглядаючи для користувача як повністю легітимні результати. Людина, яка шукає десктопну версію ChatGPT або Claude, бачить на перший погляд бездоганну сторінку з описом, скріншотами та кнопкою завантаження, не підозрюючи, що перед нею — пастка. Додатковий канал поширення — платна рекламна видача Google, де підроблені посилання конкурують з офіційними ресурсами розробників.
Легітимний підпис та DLL sideloading: як обходять довіру Windows
Ключовий елемент кампанії Yoba — використання справжнього цифрового установника. У завантажений користувачем ZIP-архів включено справжній файл Setup.exe, підписаний чинним сертифікатом OpenAI або Anthropic. Саме цей підпис змушує Windows вважати установник безпечним і не блокувати його запуск — стандартні попередження системи безпеки в цьому випадку не спрацьовують, оскільки файл формально є легітимним. Однак разом зі справжнім Setup.exe в архіві є шкідлива динамічна бібліотека winmm.dll. Механізм DLL sideloading дозволяє цій бібліотеці підвантажуватися автоматично в процесі встановлення: Windows, довіряючи підписаному виконуваному файлу, не перевіряє вміст супутніх DLL-файлів. Таким чином, шкідливий код отримує виконання в контексті довіреного процесу, оминаючи більшість евристичних та сигнатурних детекторів.
Прихований криптомайнер і керування через Telegram
Після успішного завантаження шкідлива бібліотека встановлює на цільову систему криптомайнер XMRig — популярний інструмент для видобутку монети Monero. Майнінг здійснюється через мережу Tor, що ускладнює трасування вихідного трафіку та маскує реальну адресу пулу. Для мінімізації ризику виявлення зловмисники впровадили механізм адаптивної поведінки: майнер автоматично призупиняє роботу, коли користувач активно взаємодіє з комп'ютером (натискання клавіш, рух миші), і відновлює видобуток у періоди простою. Командний канал керування побудований на двох рівнях: основні інструкції шкідник отримує через Telegram-канали, а резервна та зашифрована взаємодія здійснюється за допомогою DNS-запитів. Така архітектура дозволяє операторам кампанії віддалено оновлювати конфігурацію, міняти пули майнінгу та відключати зараження на конкретних машинах.
Географічна селекція: хто в зоні ризику
Аналіз поведінкових характеристик шкідника виявив цікаву деталь: програма навмисно уникає зараження комп'ютерів, на яких налаштовано клавіатурні розкладки країн СНД, за винятком України. Це вказує на те, що оператори кампанії або цілеспрямовано виключають частину російськомовної аудиторії з числа жертв (можливо, для зниження ймовірності виявлення атаки в російськомовному сегменті інтернету), або використовують розкладку як проксі-індикатор регіону. При цьому користувачі з України, судячи з даних звіту, не захищені цим фільтром і залишаються в зоні ризику нарівні з рештою. Точні мотиви такої селекції Check Point Research у публічному звіті не розкриває.
Рекомендации експертів: як захистити себе
Спеціалісти Check Point Research дають низку практичних рекомендацій. По-перше, завантажувати офіційні додатки ШІ-сервісів слід виключно з перевірених джерел — наприклад, зі сторінки claude.com/download для Claude або з офіційного магазину Microsoft Store. По-друге, якщо користувач уже завантажив підозрілий ZIP-архів з GitHub, категорично не рекомендується його відкривати або запускати вміст. У разі, якщо установник було запущено випадково, експерти радять негайно відключити пристрій від мережі, запустити повний сканування антивірусним рішенням і перевірити наявність підозрілих процесів (зокрема, XMRig) та записів в автозавантаженні. Враховуючи, що шкідник використовує легітимні цифрові підписи, стандартні антивірусні перевірки можуть не виявити загрозу, тому додатковим кроком є ручний аналіз вмісту розпакованого архіву та звірка хеш-сум файлів з офіційними значеннями, опублікованими розробниками.
