Falsi ChatGPT e Claude su GitHub: YobaLoader infetta il PC e mina criptovalute con XMRig

Negli ultimi mesi si sta diffondendo una campagna di malware che sfrutta la popolarità delle app di intelligenza artificiale come ChatGPT e Claude per ingannare gli utenti. I criminali informatici pubblicano falsi progetti su GitHub presentandoli come applicazioni desktop avanzate, con nomi accattivanti e credibili come GPT 5 6 Sol, GPT 6 Astra e Claude Opus.

In realtà questi download contengono un loader malevolo chiamato YobaLoader, progettato per installare un crypto miner e sfruttare le risorse del computer della vittima.

Per aumentare la fiducia, i repository includono archivi ZIP con un file Setup.exe che risulta legittimo e firmato digitalmente, associato a OpenAI Codex o a Claude. Accanto viene inserita una DLL dannosa, spesso chiamata winmm.dll, che viene caricata tramite una tecnica nota come DLL sideloading. In questo modo il malware si avvia indirettamente usando un eseguibile firmato, riducendo la probabilità di essere bloccato da controlli di sicurezza di base.

Il componente iniziale agisce come dropper e applica verifiche per evitare l’analisi automatica. Controlla che il processo ospite abbia un nome specifico e utilizza ritardi estremi basati su chiamate Sleep ripetute, oltre a escludere sistemi con layout di tastiera associati a diversi paesi dell’area ex sovietica. Questi controlli servono a ostacolare sandbox e ambienti di analisi.

La catena di infezione prosegue con un secondo stadio che crea una cartella in ProgramData, copia un file di sistema legittimo e imposta persistenza tramite una operazione pianificata che rilancia il binario legittimo per caricare il payload. YobaLoader poi recupera dati da un canale Telegram, genera domini con un algoritmo DGA e interroga servizi DNS over HTTPS per ottenere comandi nascosti in record TXT. Infine scarica un payload aggiuntivo da piattaforme di file hosting e lo inietta in svchost.exe per eseguire XMRig, un noto miner di criptovalute.

Sono presenti indicazioni di SEO poisoning, con l’obiettivo di far comparire questi falsi download tra i primi risultati di ricerca. Per proteggersi è fondamentale scaricare app AI solo da fonti ufficiali, verificare publisher e firme digitali, diffidare dei repository appena creati e monitorare processi anomali e consumo elevato di CPU.