「Yoba」と名付けられた新たなマルウェアキャンペーンが明らかになりました。このキャンペーンは、ChatGPTとClaudeの偽のデスクトップ版インストーラーをGitHub経由で配布しています。
2026年10月27日付のレポートによると、この攻撃は、正規のデジタル署名付き実行ファイルと悪意あるDLLを組み合わせてローダーを展開し、最終的に暗号資産マイニングソフトウェアを実行させる手口です。
攻撃者は、不正なリポジトリやGitHub Pagesのサイトを通じて、GPT-5.6 Sol、GPT-6 Astra、Claude Opusと銘打ったアプリケーションを宣伝しています。
これらのランディングページは、訪問者をGitHubのリリースとして公開された悪意あるZIPアーカイブへ誘導します。攻撃者は、なじみのあるAIブランドや開発者向けインフラへの信頼を悪用しています。
悪意あるパッケージには、Setup.exeにリネームされたOpenAIまたはAnthropicの正規の実行ファイルと、武器化された「winmm.dll」（YobaDropperと識別）が含まれています。
起動すると、署名付きアプリケーションがDLLサイドローディングによって、同じ場所にある悪意あるライブラリを読み込みます。正規の実行ファイルに署名があっても、同梱されたファイルまで安全だという保証にはなりません。
Checkpointの調査では、スターやフォークの数を水増しした形跡は確認されませんでした。一方で、これらのリポジトリはGoogleの検索結果で上位に表示されていました。SEOポイズニングによって被害者を呼び込んでいたとみられます。
最初のリポジトリは7月に登場し、悪意あるリリースは8月下旬から9月上旬にかけてアップロードされました。YobaDropperは、DJB2ハッシュを使って自身のホスト実行ファイルを確認し、Setup.exeであることを前提としています。
ファイル名が想定と異なる場合は、約12.73日にわたってスリープを繰り返し、自動解析を妨害します。さらにキーボードレイアウトを確認し、ロシア語を含む複数の地域言語を除外する一方、ウクライナ語は明示的に許可しています。
このドロッパーの動作には管理者権限が必要です。権限がない場合は、昇格した権限での実行を求めるプロンプトを表示して終了します。
チェックを通過すると、YobaDropperはProgramData配下にWMProcessディレクトリを作成し、正規のWindows実行ファイルWMPDMC.exeをコピーします。続いて、XORシードIRANNUMBERONEで埋め込まれたペイロードを復号し、wmpdui.dllとして保存します。
スケジュールされたタスクがコピーした実行ファイルを起動し、2つ目のコンポーネントであるYobaLoaderをサイドロードします。このタスクはMicrosoftのメタデータを偽装し、Local Systemとして動作します。起動は、システムの起動から3分後です。
YobaLoaderはホストの検証を再度実施し、ハッシュ化した関数名を使ってWindows APIを動的に解決します。段階ごとにハッシュのシードを変えているため、自動的な識別は困難になっています。
ローダーはTelegramチャンネルのプロフィール画像を取得し、末尾50バイトを使ってドメインを生成します。画像を差し替えれば、マルウェア本体を変更せずに、生成される接続先を変えられます。
続いて、GoogleのDNS over HTTPSサービスを使い、そのドメインのDNS TXTレコードを照会します。返された指示は、Base64デコード、Ed25519署名の検証、AES復号を経て、Catboxからのペイロード取得を指示します。
対応する実行方法は、svchost.exeへのインジェクション、実行ファイルの起動、非表示のPowerShellスクリプトの実行です。
確認された最終ペイロードはXMRig 6.26.0でした。TorプロキシとオニオンのエンドポイントIを経由してマイニングするよう設定されています。ユーザーの操作中は動作を一時停止し、WinRing0を読み込んでマイニングを最適化することもできます。
Checkpointは、ロシア発を示唆する痕跡を特定しました。ただ、リポジトリのタイムゾーンに一貫性がなく、攻撃者の特定は困難です。同社は、運用上の活動はおおむねUTC-4に沿っていたと分析しています。
マイニングが確認されたものの、YobaLoaderはほかの実行ファイルやPowerShellのペイロードも配信できます。
組織は、未検証のインストーラーを制限し、不審なDLLの読み込みやスケジュールされたタスクを調査してください。AIアプリケーションは、非公式のモデルリリースやデスクトップ版アップグレードをうたう検索上位のリポジトリではなく、検証済みのベンダー公式の経路から入手することが重要です。
注: IPアドレスやドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（[.]など）しています。元の形式に戻す場合は、MISP、VirusTotal、自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。自社チームで試す
翻訳元: https://cyberpress.org/hackers-use-fake-chatgpt-and-claude-installers/
