بر اساس گزارش Check Point Research، مهاجمان در حال توزیع بدافزار از طریق اپلیکیشن‌های دسکتاپ جعلی ChatGPT و Claude هستند. این حملات با استفاده از فایل‌های اجرایی معتبر و دارای امضای دیجیتال (Digitally Signed) از شرکت‌های OpenAI و Anthropic، کدهای مخرب را روی سیستم‌های ویندوزی قربانی بارگذاری می‌کنند.
جزئیات کمپین Yoba و تکنیک SEO Poisoning
این کمپین که با نام Yoba شناخته می‌شود، از مخازن جعلی در GitHub و وب‌سایت‌هایی برای تبلیغ اپلیکیشن‌های هوش مصنوعی ساختگی مانند “GPT-5.6 Sol” و “Claude Opus” استفاده می‌کند. این پروژه‌ها با استفاده از زیرساخت‌های واقعی GitHub و تکنیک SEO Poisoning، در نتایج برتر گوگل ظاهر می‌شوند تا اعتماد کاربران را جلب کنند و آن‌ها را به دانلود فایل‌های مخرب ترغیب نمایند.
تکنیک DLL Sideloading و بارگذاری بدافزار
مهاجمان از تکنیک DLL Sideloading استفاده می‌کنند. در این روش، یک فایل اجرایی معتبر (مانند Setup.exe امضا شده توسط OpenAI یا Anthropic) در کنار یک فایل مخرب با نام winmm.dll قرار می‌گیرد. هنگامی که کاربر فایل اصلی را اجرا می‌کند، سیستم به جای بارگذاری کتابخانه استاندارد، فایل مخرب را بارگذاری می‌کند که به آن YobaDropper گفته می‌شود.
- تداوم (Persistence): بدافزار با ایجاد یک Scheduled Task که خود را تحت نام Microsoft Corporation معرفی می‌کند، در سطح Local System اجرا می‌شود تا پس از هر بار بوت شدن سیستم، فعال بماند.
- محموله (Payload): در حال حاضر، هدف اصلی این کمپین نصب استخراج‌کننده ارز دیجیتال XMRig است، اما قابلیت بارگذاری اسکریپت‌های PowerShell و سایر بدافزارها را نیز دارد.
زیرساخت فرماندهی و کنترل (C2)
برای فرار از شناسایی، Yoba از سرویس‌های عمومی مانند Telegram و Google DNS-over-HTTPS (DoH) برای دریافت دستورات استفاده می‌کند. این رویکرد باعث می‌شود ترافیک شبکه با فعالیت‌های عادی کاربران اشتباه گرفته شود و شناسایی آن برای تیم‌های SOC که صرفاً بر دامنه‌های مخرب شناخته شده تمرکز دارند، بسیار دشوار گردد.
توصیه‌های امنیتی برای مدیران امنیت (CISOs)
با توجه به افزایش استفاده از ابزارهای هوش مصنوعی، مدیران باید اقدامات زیر را مد نظر قرار دهند:
- کنترل دقیق‌تر بر نصب نرم‌افزارهای هوش مصنوعی و جلوگیری از پدیده Shadow IT.
- محدود کردن دسترسی‌های Administrator در ایستگاه‌های کاری توسعه‌دهندگان (Developers) که حاوی کد منبع و کلیدهای API هستند.
- مانیتورینگ رفتارهای غیرعادی در بارگذاری DLLها، اجرای فایل از پوشه ProgramData و ارتباطات شبکه مشکوک.
