ハッカーはGitHub上の偽のChatGPTおよびClaudeダウンロードにマルウェアを仕込み、正規のアプリケーションファイルを利用して悪意あるコードを実行させていた。
Check Point Researchは10月27日の発表で、このキャンペーンをYobaと特定した。攻撃者はOpenAIとAnthropicのデジタル署名付き実行ファイルを悪意あるファイルと同梱し、偽のインストーラーを実行したWindowsユーザーを感染の危険にさらした。
リスクは暗号資産マイニングにとどまらない。Yobaは永続化を確立し、そのローダーは他のWindows実行ファイルやPowerShellスクリプトを配信できる。
検索結果から悪意あるGitHubリリースへ誘導
GitHubリポジトリと、それに付随するGitHub Pagesサイトでは、GPT-5.6 Sol、GPT-6 Astra、Claude Opusのデスクトップ版とうたうものが宣伝されていた。Check Pointは最初のリポジトリを追跡し7月16日までさかのぼった。悪意あるZIPリリースは8月30日から9月4日にかけてアップロードされていた。
宣伝ページはアーカイブへのリンクを提供しており、一部のプロジェクトはGoogle検索結果で目立つ位置に表示されていた。研究者は、この目立ち方が SEOポイズニングに一致すると判断した。これは攻撃者が有害なWebサイトを検索順位で押し上げるために使う手法だ。
ZIPファイル内には、OpenAIまたはAnthropicのデジタル署名付きSetup.exeと、悪意あるwinmm.dllが置かれていた。
インストーラーを起動すると、プログラムは近くにあるDLLを DLLサイドローディングによって読み込み、正規の実行ファイルを変更することなく攻撃者のコードを実行した。Check Pointは、OpenAI、Anthropic、ChatGPT、Claudeが侵害されたことを示す証拠は調査で確認されなかったとしている。
Yobaが永続化を確立し、暗号資産マイナーをダウンロード
セットアップ中に読み込まれるコンポーネントのYobaDropperは、想定されたインストーラーが自分を起動したか確認し、確認に失敗すると長い遅延を発生させた。また、キーボードの言語設定を調べ、管理者権限がない場合は管理者権限でプログラムを再実行するようユーザーに促した。
管理者権限を得ると、YobaDropperは正規のWindowsプログラムであるWMPDMC.exeをProgramData配下のディレクトリにコピーし、その隣に別の悪意あるDLL、wmpdui.dllを配置した。Windows Media Playerの処理に見せかけた スケジュールタスクが、起動から3分後にプログラムを実行し、第2段階のYobaLoaderを起動した。
YobaLoaderはTelegramチャンネルのプロフィール画像からデータを読み取り、変化するドメイン名を生成した。GoogleのDNS over HTTPSサービスを介した問い合わせは、Catbox上でホストされたペイロードへマルウェアを誘導する暗号化命令を返した。公開サービスと変化するドメインを組み合わせることで、ローダーは単一の固定コマンドサーバーに依存せずに済んだ。
Check Pointの キャンペーン概要では、最終ペイロードとして、svchost.exeプロセスにインジェクトされた暗号資産マイナーのXMRigを特定した。マイニング通信はTorを経由し、誰かがコンピューターを操作している間はソフトウェアが一時停止することもあった。ローダーは他のWindowsプログラムやPowerShellスクリプトも実行できるが、研究者は調査対象のリリースで追加のマルウェアファミリーを確認していない。
企業のセキュリティチームは署名済みファイル以外も調査する必要がある
会社のコンピューターで新しいAIツールを試す従業員やIT専門家にとって、見覚えのあるソフトウェア発行元だからといって、ダウンロードが安全だと判断できるわけではない。デジタル署名が検証するのは個々の実行ファイルの署名者と完全性であり、それとともに配布されるすべてのコンポーネントではない。
組織は承認済みの配布経路からAIソフトウェアを入手し、管理者権限は必要とする従業員に限定すべきだ。 アプリケーションの許可リスト化は未承認ソフトウェアのブロックに役立つが、署名済み実行ファイルを許可しても、それが読み込むDLLまで必ずしも制御できるとは限らない。セキュリティチームは、自社のポリシーがそれらのDLLにも制限を適用していることを確認すべきだ。
セキュリティアナリストは、実行ファイルに署名がある場合でも、インストール後のアプリケーションの挙動を調査すべきだ。 エンドポイント検知・対応ツールを使えば、予期しないDLLの読み込みと、新たに作成されたスケジュールタスクや、通常とは異なるディレクトリから実行されるWindowsプロセスを関連付けられる。
ワークステーション上で不正なインストーラーを見つけた組織は、それが実行されたかどうかを確認すべきだ。実行が確認された場合、または排除できない場合、セキュリティチームは端末を隔離し、その実行履歴をCheck Pointが公開した指標と照合すべきである。XMRigだけを削除しても、YobaLoaderやそのスケジュールタスクが活動を続けているか、他のコードが実行されたかどうかは確認できない。影響を受けたシステムは、調査担当者が感染の全容を把握した後にのみ運用へ戻すべきであり、範囲が不明なままなら再構築を検討すべきだ。
続きを読む：モバイル攻撃では、身近なブランドも餌に使われており、 求職者にAndroidスパイウェアを送り込む偽のIndeed面接アプリ