Des pirates ont dissimulé un logiciel malveillant dans de faux téléchargements de ChatGPT et Claude sur GitHub, en utilisant des fichiers d’application légitimes pour contribuer à l’exécution d’un code malveillant.
Check Point Research a identifié cette campagne sous le nom de Yoba dans une divulgation publiée le 27 octobre. Les attaquants ont associé à des fichiers malveillants des exécutables signés numériquement provenant d’OpenAI et d’Anthropic, exposant à une infection les utilisateurs de Windows qui exécutaient les installateurs contrefaits.
Le risque dépasse le simple minage de cryptomonnaies : Yoba assure sa persistance, et son chargeur peut transmettre d’autres fichiers exécutables Windows ou des scripts PowerShell.
Les résultats de recherche redirigeaient les utilisateurs vers des publications GitHub malveillantes
Des dépôts GitHub et les sites GitHub Pages associés faisaient la promotion de prétendues versions de bureau de GPT-5.6 Sol, GPT-6 Astra et Claude Opus. Check Point a retracé le dépôt le plus ancien au 16 juillet, avec des publications ZIP malveillantes mises en ligne entre le 30 août et le 4 septembre.
Les pages promotionnelles proposaient des liens vers les archives, et certains projets apparaissaient en bonne place dans les résultats de Google. Les chercheurs ont jugé cette visibilité compatible avec l’empoisonnement SEO, une technique utilisée par les attaquants pour promouvoir des sites dangereux dans les classements des moteurs de recherche.
À l’intérieur des fichiers ZIP, un Setup.exe signé numériquement provenant d’OpenAI ou d’Anthropic apparaissait avec un fichier winmm.dll malveillant.
Le lancement de l’installateur amenait le programme à charger la DLL voisine par chargement latéral de DLL, exécutant ainsi le code des attaquants sans modifier l’exécutable légitime. Check Point a indiqué que ses recherches ne montraient aucun signe de compromission d’OpenAI, d’Anthropic, de ChatGPT ou de Claude.
Yoba assure sa persistance et télécharge un mineur de cryptomonnaies
YobaDropper, le composant chargé lors de l’installation, vérifiait que l’installateur attendu l’avait bien lancé et introduisait de longs délais lorsque cette vérification échouait. Il examinait également les paramètres de langue du clavier et invitait les utilisateurs à relancer le programme avec des privilèges administrateur lorsque ces autorisations faisaient défaut.
Avec un accès administrateur, YobaDropper copiait WMPDMC.exe, un programme Windows légitime, dans un répertoire situé sous ProgramData et plaçait une autre DLL malveillante, wmpdui.dll, à côté. Une tâche planifiée déguisée en opération de Windows Media Player exécutait le programme trois minutes après le démarrage, activant la deuxième étape, YobaLoader.
YobaLoader lisait les données de l’image de profil d’un canal Telegram afin de générer un nom de domaine changeant. Des requêtes via le service DNS-over-HTTPS de Google renvoyaient des instructions chiffrées qui dirigeaient le logiciel malveillant vers une charge utile hébergée sur Catbox. En combinant des services publics et des domaines changeants, le chargeur évitait de dépendre d’un serveur de commande unique et fixe.
Le résumé de campagne de Check Point a identifié le mineur de cryptomonnaies XMRig comme charge utile finale, injectée dans le processus svchost.exe. Le trafic de minage transitait par Tor, tandis que le logiciel pouvait se mettre en pause lorsqu’une personne utilisait activement l’ordinateur. Bien que le chargeur puisse exécuter d’autres programmes Windows ou des scripts PowerShell, les chercheurs n’ont pas confirmé la présence d’autres familles de logiciels malveillants dans les publications étudiées.
Les équipes de sécurité des entreprises doivent inspecter davantage que les fichiers signés
Pour les employés et les professionnels de l’informatique qui testent de nouveaux outils d’IA sur des ordinateurs de l’entreprise, l’identification d’un éditeur logiciel connu ne suffit pas à garantir qu’un téléchargement est sûr. Une signature numérique vérifie l’identité du signataire et l’intégrité d’un exécutable donné, pas de chaque composant distribué avec celui-ci.
Les entreprises devraient obtenir leurs logiciels d’IA via des canaux de distribution approuvés et limiter les privilèges administrateur aux employés qui en ont besoin. L’autorisation des applications peut contribuer à bloquer les logiciels non autorisés, mais l’autorisation d’un exécutable signé ne contrôle pas nécessairement les DLL qu’il charge. Les équipes de sécurité doivent vérifier que leurs politiques imposent également des restrictions sur ces DLL.
Les analystes de sécurité devraient également examiner le comportement des applications après leur installation, même lorsque l’exécutable est signé. Détection et réponse sur les terminaux : les outils peuvent aider à relier les chargements inattendus de DLL aux tâches planifiées nouvellement créées et aux processus Windows s’exécutant depuis des répertoires inhabituels.
Les entreprises qui découvrent un installateur frauduleux sur un poste de travail doivent déterminer s’il a été exécuté. Si son exécution est confirmée ou ne peut être exclue, les équipes de sécurité doivent isoler l’appareil et comparer son historique d’exécution aux indicateurs publiés par Check Point. La seule suppression de XMRig ne permet pas de confirmer que YobaLoader ou sa tâche planifiée ne sont plus actifs, ni de déterminer si un autre code a été exécuté. Les systèmes touchés ne doivent être remis en service qu’une fois que les enquêteurs ont pris en compte l’intégralité de l’infection ; une reconstruction doit être envisagée si son ampleur reste incertaine.
En savoir plus : dans les attaques mobiles, les marques familières servent aussi d’appât, avec de fausses applications d’entretien Indeed qui distribuent des logiciels espions Android aux demandeurs d’emploi.