تحقیقات اخیر نشان می‌دهد که پروژه‌های جعلی در GitHub که خود را به عنوان نسخه‌های دسکتاپ ChatGPT و Claude معرفی می‌کنند، برای انتشار یک زنجیره بدافزاری موسوم به Yoba مورد استفاده قرار می‌گیرند. این بدافزار که در نهایت منجر به نصب استخراج‌کننده ارز دیجیتال (Cryptocurrency Miner) می‌شود، از تکنیک‌های پیشرفته‌ای برای دور زدن سیستم‌های امنیتی استفاده می‌کند.
روش انتشار و فریب کاربران
مهاجمان با استفاده از تکنیک SEO Poisoning، عناوین و توضیحات پروژه‌های خود را در GitHub به گونه‌ای بهینه‌سازی می‌کنند که در نتایج جستجوی گوگل در رتبه‌های بالا قرار بگیرند. این پروژه‌ها که با نام‌هایی مانند GPT-5.6 Sol یا Claude Opus شناخته می‌شوند، فایل‌های ZIP حاوی بدافزار را در قالب نسخه‌های آماده ارائه می‌دهند.
تکنیک‌های نفوذ و بقا
- DLL Sideloading: هر آرشیو شامل یک فایل اجرایی (Executable) قانونی است که توسط شرکت‌هایی مانند OpenAI یا Anthropic امضا شده است. این فایل در کنار یک فایل DLL مخرب قرار دارد که هنگام اجرا، فایل مخرب را بارگذاری می‌کند تا از مکانیزم‌های حفاظتی عبور کند.
- تکنیک بقا (Persistence): پس از دسترسی به سطح Administrator، بدافزار یک Scheduled Task ایجاد می‌کند که با نام “Windows Media Player” و تحت مالکیت “Microsoft Corporation” ظاهر می‌شود تا فعالیت خود را پنهان کند.
- ارتباطات مخفی (C2): بدافزار از یک کانال تلگرام برای تولید نام دامنه (Domain Generation) استفاده می‌کند؛ به این صورت که تصویر پروفایل کانال را دانلود کرده و از بخشی از آن برای ساخت دامنه بهره می‌برد. همچنین برای عبور از نظارت‌های DNS، از سرویس DNS over HTTPS (DoH) استفاده می‌کند.
تحلیل نهایی و هشدار
اگرچه هدف فعلی این کمپین نصب استخراج‌کننده XMRig است، اما محققان هشدار می‌دهند که YobaLoader می‌تواند هر نوع فایل اجرایی یا اسکریپت PowerShell دیگری را نیز اجرا کند. این موضوع نشان می‌دهد که این لودر می‌تواند در حملات آینده برای توزیع خانواده‌های مختلف بدافزار استفاده شود. همچنین مشاهده شده که این بدافزار از نصب روی سیستم‌هایی با زبان‌های روسی یا کشورهای CIS (به جز اوکراین) خودداری می‌کند که نشان‌دهنده احتمال فعالیت عاملان با منشأ روسی است.
به‌روزرسانی (اکتبر 29, 2026 — The Hacker News)
به‌روزرسانی: تحلیل‌های جدید نشان می‌دهد که بدافزار Yoba در نهایت یک ماینر ارز دیجیتال (XMRig) را به عنوان بارگذاری نهایی (Payload) روی سیستم قربانی اجرا می‌کند. مهاجمان از نام‌های فریبنده برای اپلیکیشن‌های جعلی خود استفاده می‌کنند که شامل GPT-5.6 Sol، GPT-6 Astra و Claude Opus است تا کاربران را به نصب این ابزارهای مخرب ترغیب کنند.
این حملات از تکنیک‌های پیشرفته ضد تحلیل (Anti-analysis) برای فرار از محیط‌های امنیتی استفاده می‌کنند. از جمله این موارد می‌توان به یک تایمر خواب (Sleep timer) طولانی‌مدت (حدود ۱۲ روز) و بررسی چیدمان صفحه‌کلید (Keyboard layout) اشاره کرد؛ به طوری که بدافزار از سرایت به سیستم‌هایی که زبان‌های خاصی (مانند زبان‌های کشورهای CIS) را استفاده می‌کنند، خودداری می‌کند.
در مرحله نهایی، بدافزار با استفاده از تکنیک DLL Sideloading، کد مخرب خود را در فرآیند svchost.exe تزریق (Inject) می‌کند. همچنین برای دور زدن سیستم‌های نظارتی DNS، از پروتکل DNS over HTTPS (DoH) برای ارتباط با سرورهای فرماندهی و کنترل (C2) استفاده می‌شود.
