חוקרי Check Point Research תיארו קמפיין בשם Yoba שמתחזה לאפליקציות שולחן עבודה של ChatGPT ו-Claude. הקורבן מורד ארכיון מ-GitHub, ובסופו של דבר מקבל על המחשב כורה מטבעות קריפטוגרפיים.
הפרטים
לפי המחקר, התוקפים פתחו מאגרים ב-GitHub עם שמות כמו "GPT-5.6 Sol" ו-"Claude Opus". הארכיון כולל קובץ Setup.exe חתום ולגיטימי של OpenAI Codex או Claude, לצד קובץ winmm.dll זדוני. הקובץ החתום טוען את ה-DLL (טכניקת DLL sideloading), וכך הקוד הזדוני רץ בחסות תוכנה מהימנה.
השלב הראשון, YobaDropper, בודק שהופעל על ידי Setup.exe, מתעכב כדי לחמוק מ-sandbox, ומתקין לעצמו התמדה דרך משימה מתוזמנת ותיקייה ב-ProgramData. השלב השני, YobaLoader, מאתר שרתי פיקוד באמצעות אלגוריתם ליצירת דומיינים ושאילתת TXT דרך DNS-over-HTTPS של גוגל, ובסוף מזריק את XMRig לתהליך svchost.exe. המאגר הראשון הופיע בערך ביולי 2026 וגרסאות זדוניות הועלו בסוף אוגוסט. המחקר אינו מציין מספר הורדות או קורבנות, והחוקרים חושדים בהעלאת דירוג בגוגל (SEO poisoning).
נקודות לשים לב
- הורד כלי AI רק מאתר היצרן הרשמי, לא ממאגר GitHub שמצאת בחיפוש או בפרסומת.
- חתימה דיגיטלית על קובץ ההפעלה אינה ערובה: חפש קובצי DLL לא צפויים (כמו
winmm.dll) בתיקייה אחת עם קובץ חתום. - הוסף התראות על משימות מתוזמנות חדשות, על תיקיות חדשות ב-
ProgramDataועלsvchost.exeשמקבל הזרקה. - עקוב אחר תעבורת DoH ויציאות לדומיינים של dynamic DNS מתחנות קצה, וחפש פעילות כרייה חריגה.
- את מדדי הזיהוי המלאים (hashes, דומיינים) קח מדוח Check Point עצמו.
מקורות: Check Point Research · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
