Hacker schleusten Malware in gefälschte ChatGPT- und Claude-Downloads auf GitHub ein und nutzten legitime Anwendungsdateien, um die Ausführung von Schadcode zu unterstützen.
Check Point Research identifizierte die Kampagne in einer Mitteilung vom 27. Okt. als Yoba. Die Angreifer bündelten digital signierte ausführbare Dateien von OpenAI und Anthropic mit bösartigen Dateien und setzten dadurch Windows-Nutzer, die die gefälschten Installationsprogramme ausführten, einer Infektion aus.
Das Risiko geht über das Schürfen von Kryptowährungen hinaus: Yoba richtet sich dauerhaft ein, und sein Loader kann weitere ausführbare Windows-Dateien oder PowerShell-Skripte nachladen.
Suchergebnisse leiteten Nutzer zu bösartigen GitHub-Releases
GitHub-Repositories und zugehörige GitHub-Pages-Websites warben für angebliche Desktop-Versionen von GPT-5.6 Sol, GPT-6 Astra und Claude Opus. Check Point verfolgtedas früheste Repository bis zum 16. Juli zurück; zwischen dem 30. Aug. und dem 4. Sept. wurden bösartige ZIP-Releases hochgeladen.
Werbeseiten boten Links zu den Archiven an, und einige Projekte erschienen prominent in den Google-Suchergebnissen. Die Forscher hielten diese Sichtbarkeit für typisch für SEO-Poisoning, eine Technik, mit der Angreifer schädliche Websites in den Suchrankings nach oben bringen.
In den ZIP-Dateien befand sich neben einer digital signierten Setup.exe von OpenAI oder Anthropic eine bösartige winmm.dll.
Beim Starten des Installationsprogramms lud das Programm die danebenliegende DLL über DLL-Sideloading, wodurch der Code der Angreifer ausgeführt wurde, ohne die legitime ausführbare Datei zu verändern. Check Point erklärte, die Untersuchung liefere keine Hinweise darauf, dass OpenAI, Anthropic, ChatGPT oder Claude kompromittiert worden seien.
Yoba richtet sich dauerhaft ein und lädt einen Kryptowährungs-Miner herunter
YobaDropper, die während der Einrichtung geladene Komponente, überprüfte, ob das erwartete Installationsprogramm sie gestartet hatte, und fügte lange Verzögerungen ein, wenn die Prüfung fehlschlug. Außerdem untersuchte die Komponente die Einstellungen für die Tastatursprache und forderte Nutzer auf, das Programm mit Administratorrechten erneut auszuführen, wenn diese Berechtigungen fehlten.
Mit Administratorzugriff kopierte YobaDropper WMPDMC.exe, ein legitimes Windows-Programm, in ein Verzeichnis unterhalb von ProgramData und legte eine weitere bösartige DLL namens wmpdui.dll daneben ab. Eine geplante Aufgabe , die als Windows-Media-Player-Vorgang getarnt war, startete das Programm drei Minuten nach dem Systemstart und aktivierte den YobaLoader der zweiten Stufe.
YobaLoader las Daten aus dem Profilbild eines Telegram-Kanals aus, um einen wechselnden Domainnamen zu erzeugen. Abfragen über Googles DNS-over-HTTPS-Dienst lieferten verschlüsselte Anweisungen, die die Malware zu einer auf Catbox gehosteten Payload leiteten. Durch die Kombination öffentlicher Dienste mit wechselnden Domains vermied der Loader, von einem einzigen festen Befehlsserver abhängig zu sein.
Die von Check Point veröffentlichte Kampagnenzusammenfassung identifizierte den Kryptowährungs-Miner XMRig als endgültige Payload, die in den Prozess svchost.exe eingeschleust wurde. Der Mining-Datenverkehr lief über Tor, während die Software pausieren konnte, wenn jemand den Computer aktiv nutzte. Obwohl der Loader weitere Windows-Programme oder PowerShell-Skripte ausführen kann, bestätigten die Forscher in den untersuchten Releases keine weiteren Malware-Familien.
Unternehmenssicherheitsteams müssen mehr als nur signierte Dateien prüfen
Für Mitarbeiter und IT-Fachleute, die neue KI-Tools auf Firmencomputern testen, reicht ein erkennbarer Softwarehersteller nicht aus, um die Sicherheit eines Downloads zu gewährleisten. Eine digitale Signatur bestätigt den Unterzeichner und die Integrität einer einzelnen ausführbaren Datei, nicht jedoch jeder mit ihr verteilten Komponente.
Organisationen sollten KI-Software über zugelassene Vertriebswege beziehen und Administratorrechte auf Mitarbeiter beschränken, die sie benötigen. Application-Allowlisting kann dabei helfen, nicht autorisierte Software zu blockieren. Die Freigabe einer signierten ausführbaren Datei kontrolliert jedoch nicht unbedingt die von ihr geladenen DLLs. Sicherheitsteams sollten sicherstellen, dass ihre Richtlinien auch Beschränkungen für diese DLLs durchsetzen.
Sicherheitsanalysten sollten außerdem das Verhalten von Anwendungen nach der Installation untersuchen, selbst wenn die ausführbare Datei signiert ist. Endpoint-Detection-and-Response-Tools können dabei helfen, unerwartete DLL-Ladevorgänge mit neu erstellten geplanten Aufgaben und Windows-Prozessen zu verknüpfen, die aus ungewöhnlichen Verzeichnissen ausgeführt werden.
Organisationen, die ein betrügerisches Installationsprogramm auf einer Workstation finden, sollten feststellen, ob es ausgeführt wurde. Ist die Ausführung bestätigt oder kann sie nicht ausgeschlossen werden, sollten Sicherheitsteams das Gerät isolieren und seine Ausführungshistorie anhand der von Check Point veröffentlichten Indikatoren überprüfen. Die alleinige Entfernung von XMRig bestätigt weder, dass YobaLoader oder seine geplante Aufgabe noch aktiv sind, noch dass kein anderer Code ausgeführt wurde. Betroffene Systeme sollten erst wieder in Betrieb genommen werden, wenn die Ermittler die vollständige Infektion erfasst haben; bleibt ihr Umfang unklar, sollte ein Neuaufbau des Systems erwogen werden.
Mehr lesen: Auch bekannte Marken dienen bei mobilen Angriffen als Köder: gefälschte Indeed-Interview-Apps, die Android-Spyware ausliefern an Jobsuchende.