---
title: "Кампанія Yoba: хакери заражають ПК підробленими установниками ChatGPT і Claude, оминаючи захист Windows"
description: "Check Point Research розкрила кампанію Yoba: хакери поширюють підроблені установники ChatGPT і Claude через GitHub та Google, використовуючи легітимні цифрові підписи та прихований криптомайнер XMRig під керуванням Telegram."
date: 2026-10-30T10:18:42.740Z
lang: uk
url: https://xab.info/uk/posts/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude
tags: [cybersecurity, chatgpt, claude, github, malware, crypto-miner, check-point, dll-sideloading]
author: "Олександр Буран, Роман В."
publisher: "XAB.info"
---

# Кампанія Yoba: хакери заражають ПК підробленими установниками ChatGPT і Claude, оминаючи захист Windows

![Ноутбук з відкритим браузером GitHub та підробленими установниками ChatGPT і Claude на екрані](https://xab.info/media/2026/10/30/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude/yoba-kampaniya-feykovi-ustanovshchiki-chatgpt-i-claude-1.webp)

## Ключові тези

- Кампанія Yoba поширює підроблені десктопні додатки ChatGPT і Claude через GitHub-репозиторії та SEO-отруєну видачу Google
- Шкідливе ПЗ використовує справжній підписаний Setup.exe від OpenAI/Anthropic у поєднанні зі шкідливим winmm.dll для обходу захисту Windows
- Після встановлення запускається криптомайнер XMRig через Tor, яким керують через Telegram-канали та зашифровані DNS-запити
- Шкідник навмисно уникає систем із клавіатурними розкладками країн СНД, окрім України
- Експерти рекомендують завантажувати ШІ-додатки лише з офіційних джерел і не відкривати підозрілі ZIP-архіви

Експерти з кібербезпеки з Check Point Research розкрили масштабну шкідливу кампанію під назвою Yoba, в рамках якої зловмисники поширюють піддельні десктопні додатки ChatGPT і Claude через GitHub та рекламну видачу Google. Про це повідомляє РБК-Україна з посиланням на свіжий аналітичний звіт дослідницького підрозділу компанії. Кампанія є комплексною атакою, що поєднує SEO-маніпуляції, соціальну інженерію та вразливості в механізмах довіри операційної системи Windows, що робить її особливо небезпечною для пересічних користувачів, які не мають глибоких знань у галузі інформаційної безпеки.

### SEO-отруєння та підроблені репозиторії як точка входу

Перший етап атаки будується на класичній, але вкрай ефективній техніці SEO-отруєння (search engine poisoning). Зловмисники створюють GitHub-репозиторії та вебсторінки з назвами, що імітують актуальні версії популярних штучних інтелектів — наприклад, «GPT-5.6 Sol» або «Claude Opus». Завдяки оптимізації під пошукові алгоритми ці шахрайські ресурси займають верхні позиції у видачі Google, виглядаючи для користувача як повністю легітимні результати. Людина, яка шукає десктопну версію ChatGPT або Claude, бачить на перший погляд бездоганну сторінку з описом, скріншотами та кнопкою завантаження, не підозрюючи, що перед нею — пастка. Додатковий канал поширення — платна рекламна видача Google, де підроблені посилання конкурують з офіційними ресурсами розробників.

### Легітимний підпис та DLL sideloading: як обходять довіру Windows

Ключовий елемент кампанії Yoba — використання справжнього цифрового установника. У завантажений користувачем ZIP-архів включено справжній файл Setup.exe, підписаний чинним сертифікатом OpenAI або Anthropic. Саме цей підпис змушує Windows вважати установник безпечним і не блокувати його запуск — стандартні попередження системи безпеки в цьому випадку не спрацьовують, оскільки файл формально є легітимним. Однак разом зі справжнім Setup.exe в архіві є шкідлива динамічна бібліотека winmm.dll. Механізм DLL sideloading дозволяє цій бібліотеці підвантажуватися автоматично в процесі встановлення: Windows, довіряючи підписаному виконуваному файлу, не перевіряє вміст супутніх DLL-файлів. Таким чином, шкідливий код отримує виконання в контексті довіреного процесу, оминаючи більшість евристичних та сигнатурних детекторів.

### Прихований криптомайнер і керування через Telegram

Після успішного завантаження шкідлива бібліотека встановлює на цільову систему криптомайнер XMRig — популярний інструмент для видобутку монети Monero. Майнінг здійснюється через мережу Tor, що ускладнює трасування вихідного трафіку та маскує реальну адресу пулу. Для мінімізації ризику виявлення зловмисники впровадили механізм адаптивної поведінки: майнер автоматично призупиняє роботу, коли користувач активно взаємодіє з комп'ютером (натискання клавіш, рух миші), і відновлює видобуток у періоди простою. Командний канал керування побудований на двох рівнях: основні інструкції шкідник отримує через Telegram-канали, а резервна та зашифрована взаємодія здійснюється за допомогою DNS-запитів. Така архітектура дозволяє операторам кампанії віддалено оновлювати конфігурацію, міняти пули майнінгу та відключати зараження на конкретних машинах.

### Географічна селекція: хто в зоні ризику

Аналіз поведінкових характеристик шкідника виявив цікаву деталь: програма навмисно уникає зараження комп'ютерів, на яких налаштовано клавіатурні розкладки країн СНД, за винятком України. Це вказує на те, що оператори кампанії або цілеспрямовано виключають частину російськомовної аудиторії з числа жертв (можливо, для зниження ймовірності виявлення атаки в російськомовному сегменті інтернету), або використовують розкладку як проксі-індикатор регіону. При цьому користувачі з України, судячи з даних звіту, не захищені цим фільтром і залишаються в зоні ризику нарівні з рештою. Точні мотиви такої селекції Check Point Research у публічному звіті не розкриває.

### Рекомендации експертів: як захистити себе

Спеціалісти Check Point Research дають низку практичних рекомендацій. По-перше, завантажувати офіційні додатки ШІ-сервісів слід виключно з перевірених джерел — наприклад, зі сторінки claude.com/download для Claude або з офіційного магазину Microsoft Store. По-друге, якщо користувач уже завантажив підозрілий ZIP-архів з GitHub, категорично не рекомендується його відкривати або запускати вміст. У разі, якщо установник було запущено випадково, експерти радять негайно відключити пристрій від мережі, запустити повний сканування антивірусним рішенням і перевірити наявність підозрілих процесів (зокрема, XMRig) та записів в автозавантаженні. Враховуючи, що шкідник використовує легітимні цифрові підписи, стандартні антивірусні перевірки можуть не виявити загрозу, тому додатковим кроком є ручний аналіз вмісту розпакованого архіву та звірка хеш-сум файлів з офіційними значеннями, опублікованими розробниками.

## Перевірка фактів і джерела

- [Фейковые ChatGPT и Claude заражают ПК: как мошенники обходят защиту Windows](https://www.rbc.ua/ukr/news/feykovi-chatgpt-i-claude-zarazhayut-pk-k-1793352335.html) - Першоджерело містить повний технічний розбір кампанії Yoba: механізм SEO-отруєння, DLL sideloading через winmm.dll, криптомайнер XMRig через Tor, C2 через Telegram, географічну селекцію за розкладками. Усі факти статті звірені з текстом джерела.

## Часті запитання

### Що таке кампанія Yoba?

Yoba — шкідлива кампанія, в рамках якої хакери поширюють підроблені установники десктопних версій ChatGPT і Claude через GitHub та пошукову видачу Google. Мета — зараження комп'ютерів користувачів прихованим криптомайнером XMRig.

### Чому стандартний захист Windows не блокує підроблений установник?

У ZIP-архіві міститься справжній файл Setup.exe, підписаний чинним цифровим сертифікатом OpenAI або Anthropic. Windows довіряє підписаному файлу і не блокує його. Шкідлива бібліотека winmm.dll підвантажується автоматично під час встановлення через механізм DLL sideloading.

### Як шкідливе ПЗ приховує майнінг?

Криптомайнер XMRig працює через мережу Tor і автоматично призупиняє видобуток, коли користувач активно працює за комп'ютером (натискання клавіш, рух миші). Команди керування надходять через Telegram-канали та зашифровані DNS-запити.

### Хто перебуває в зоні ризику?

Усі користувачі, які завантажують десктопні версії ШІ-сервісів із пошукової видачі Google або GitHub. Шкідник навмисно уникає систем із клавіатурними розкладками країн СНД, за винятком України, тому користувачі з України не захищені цим фільтром.

### Що робити, якщо я вже завантажив підозрілий архів?

Не відкривати і не запускати вміст архіву. Якщо установник було запущено випадково — негайно відключити пристрій від мережі, запустити повний антивірусний сканінг і перевірити наявність процесу XMRig та записів в автозавантаженні. Завантажувати офіційні додатки слід лише з перевірених джерел: claude.com/download або Microsoft Store.