Wprowadzenie do problemu / definicja
Kampania Yoba pokazuje, jak cyberprzestępcy wykorzystują rosnącą popularność narzędzi AI do dystrybucji złośliwego oprogramowania. Atakujący podszywają się pod rzekome desktopowe aplikacje związane z ChatGPT i Claude, a następnie uruchamiają malware przy użyciu legalnych, podpisanych plików wykonywalnych oraz techniki DLL sideloading.
W praktyce ofiara pobiera archiwum wyglądające jak zwykły instalator narzędzia AI, lecz po uruchomieniu rozpoczyna się wieloetapowy łańcuch infekcji. Jego celem jest wdrożenie loadera, zapewnienie trwałości w systemie oraz pobranie końcowego ładunku, którym w analizowanej kampanii była koparka kryptowalut.
W skrócie
- Fałszywe projekty na GitHubie podszywały się pod aplikacje AI, takie jak GPT-5.6 Sol, GPT-6 Astra i Claude Opus.
- Złośliwe archiwa zawierały legalny plik wykonywalny oraz podstawioną bibliotekę winmm.dll ładowaną przez DLL sideloading.
- Pierwszy etap infekcji, YobaDropper, wdrażał komponent YobaLoader i utrwalał obecność w systemie.
- Końcowym payloadem był XMRig uruchamiany z wykorzystaniem Tora, ale architektura kampanii pozwala dostarczać także inne ładunki.
Kontekst / historia
Kampania była obserwowana przez około dwa miesiące i opierała się na fałszywych repozytoriach oraz stronach projektowych utrzymywanych w infrastrukturze GitHub. Operatorzy nie koncentrowali się na sztucznym budowaniu wiarygodności projektów przez gwiazdki czy forki, lecz wykorzystywali widoczność treści w wyszukiwarkach oraz prawdopodobne techniki SEO poisoning.
Według ustaleń badaczy pierwsze repozytoria pojawiły się w lipcu 2026 roku, a złośliwe wydania opublikowano pod koniec sierpnia i na początku września 2026 roku. Wcześniejsze warianty Yoba były jednak widoczne już w czerwcu 2026 roku, co wskazuje na aktywny rozwój narzędzia i stopniowe ulepszanie metod infekcji oraz utrwalania.
Analiza techniczna
Punkt wejścia stanowi archiwum ZIP zawierające legalny plik Setup.exe oraz złośliwą bibliotekę winmm.dll. Sam plik wykonywalny nie jest zmodyfikowany, ale zostaje wykorzystany jako zaufany host do załadowania podstawionej biblioteki. Dzięki temu złośliwa aktywność może wyglądać jak uruchomienie prawidłowej aplikacji pochodzącej z wiarygodnego źródła.
Komponent winmm.dll, określany jako YobaDropper, zawiera mechanizmy utrudniające analizę. Sprawdza, czy działa pod oczekiwaną nazwą procesu, analizuje układ klawiatury systemu i omija część państw WNP, a także weryfikuje poziom uprawnień. Jeżeli warunki nie zostaną spełnione, malware może przejść w długi stan uśpienia, co utrudnia wykrycie w środowiskach sandbox.
Po pomyślnym uruchomieniu dropper tworzy katalog ProgramData\WMProcess, kopiuje do niego legalny plik WMPDMC.exe z katalogu systemowego i zapisuje drugi etap pod nazwą wmpdui.dll. Następnie ustanawia persistence przez zadanie harmonogramu stylizowane na komponent Microsoft, które uruchamia legalny plik po starcie systemu i ponownie ładuje złośliwą bibliotekę.
YobaLoader działa wyłącznie pod WMPDMC.exe i wyróżnia się nietypową metodą pozyskiwania konfiguracji. Zamiast klasycznej infrastruktury C2 pobiera obraz profilowy z kanału Telegram, a fragment danych z końca pliku służy jako ziarno do wygenerowania domeny metodą DGA. Następnie malware odpytuje usługę DNS over HTTPS o rekord TXT, weryfikuje odpowiedź podpisem Ed25519 i odszyfrowuje dane wskazujące lokalizację finalnego payloadu.
Loader potrafi uruchamiać ładunek na kilka sposobów:
- przez wstrzyknięcie kodu do procesu svchost.exe,
- przez zapisanie i uruchomienie pliku PE po usunięciu znacznika Zone.Identifier,
- przez zapisanie ukrytego skryptu PowerShell uruchamianego z obejściem polityki wykonania.
W opisanej kampanii końcowym modułem był XMRig 6.26.0 komunikujący się przez lokalny proxy SOCKS5 z usługą onion. Mechanizm ten może jednak zostać łatwo wykorzystany także do dostarczania innych rodzin malware.
Konsekwencje / ryzyko
Bezpośrednim skutkiem infekcji jest nieautoryzowane kopanie kryptowalut, które powoduje wzrost użycia CPU, spadek wydajności stacji roboczej, większe zużycie energii oraz szybsze zużywanie podzespołów. Tego typu aktywność może być przez dłuższy czas niezauważona, zwłaszcza gdy użytkownik uzna wysokie obciążenie systemu za efekt pracy narzędzi AI.
Znacznie poważniejsze jest jednak to, że YobaLoader ma charakter uniwersalnego loadera. Oznacza to, że ta sama infrastruktura może w kolejnych kampaniach służyć do wdrażania infostealerów, backdoorów, ransomware albo innych modułów wykorzystywanych po uzyskaniu dostępu do systemu.
Dodatkowe ryzyko wynika z użycia legalnych binariów, GitHuba, Telegrama, DNS over HTTPS i publicznego hostingu plików. Taki zestaw utrudnia korelację zdarzeń, osłabia skuteczność prostych kontroli reputacyjnych i komplikuje pracę zespołów odpowiedzialnych za monitorowanie incydentów.
Rekomendacje
Organizacje powinny ograniczyć możliwość instalowania oprogramowania z niezatwierdzonych źródeł i egzekwować politykę allowlistingu aplikacji. Szczególnie ważne jest blokowanie uruchamiania nieautoryzowanych instalatorów z katalogów tymczasowych, profili użytkowników i archiwów pobranych z Internetu.
Z perspektywy detekcji warto monitorować obecność nietypowych kopii WMPDMC.exe poza standardową lokalizacją systemową, zwłaszcza w katalogu ProgramData\WMProcess, a także bibliotek wmpdui.dll w tym samym miejscu. Dodatkowym sygnałem ostrzegawczym są zadania harmonogramu podszywające się pod komponenty Microsoft i uruchamiane kilka minut po starcie systemu.
Na poziomie sieciowym znaczenie ma obserwacja ruchu do Telegrama, korzystania z DNS over HTTPS w nietypowych kontekstach oraz pobierania plików z publicznych hostingów. Warto także analizować długotrwałe, wysokie użycie CPU, lokalne komponenty Tora oraz nietypowe drzewa procesów dla svchost.exe.
Użytkownicy końcowi powinni pobierać aplikacje AI wyłącznie z oficjalnych kanałów producenta i unikać niezweryfikowanych „desktopowych klientów” publikowanych przez anonimowe konta. Zespoły SOC mogą dodatkowo wdrożyć reguły wykrywające DLL sideloading, tworzenie fałszywych zadań harmonogramu oraz usuwanie znacznika Zone.Identifier przed uruchomieniem pobranych plików.
Podsumowanie
Yoba to przykład dojrzałej kampanii malware, która łączy socjotechnikę opartą na popularności AI z technikami utrudniającymi analizę i wykrywanie. Choć w analizowanej fali końcowym celem było wdrożenie koparki kryptowalut, zastosowany loader pozostawia operatorom możliwość dostarczania znacznie groźniejszych ładunków.
Dla obrońców najważniejszy wniosek jest prosty: incydentu nie należy traktować wyłącznie jako nadużycia zasobów systemowych. To pełnoprawny wektor kompromitacji stacji roboczych, który może zostać szybko przekształcony w atak o znacznie większej skali i skutkach biznesowych.