Étiquette : Claude

Vue rapprochée d'un écran d'appareil électronique sombre affichant une grille d'icônes d'application abstraites colorées sur fond bleu profond.

Malware Yoba utilise les binaires signés ChatGPT et Claude pour infecter les utilisateurs

Par Rédaction IP73 dans Sécurité le

Une campagne d’attaques, surnommée Yoba, profite de l’engouement autour des outils d’intelligence artificielle. Des acteurs malveillants ont créé de faux projets sur GitHub, se faisant passer pour des applications de bureau comme GPT-5.6 Sol, GPT-6 Astra ou Claude Opus. L’objectif est de distribuer une chaîne de malware sophistiquée en tirant parti de la confiance accordée à ces outils grand public.

Le mécanisme d’attaque est particulièrement ingénieux. Les attaquants ne compromettent ni ChatGPT, ni Claude, ni OpenAI, ni Anthropic. Ils exploitent la crédibilité de ces marques en insérant des binaires légitimes et signés, comme le Setup.exe d’OpenAI, dans des archives conteneur. Une fois que l’utilisateur lance ce programme légitime, le malware, un fichier DLL malveillant nommé winmm.dll, est chargé indirectement via une technique connue sous le nom de DLL sideloading.

Ces projets frauduleux parviennent à apparaître en haut des résultats de Google. Il ne s’agit pas d’un gonflement artificiel de stars ou de forks sur GitHub, mais plutôt d’une tactique de « SEO poisoning », où les titres et les descriptions sont optimisés pour forcer un classement élevé dans les moteurs de recherche externes. Cette approche transforme la demande naturelle pour de nouvelles capacités IA en vecteur initial d’infection.

Figure solitaire assise à un bureau devant un écran lumineux, entourée d'un fourré rouge vif et épineux dans un paysage automnal désolé.

La persistance et la furtivité du malware

Après le téléchargement et l’exécution initiale, le programme YobaDropper ne se contente pas de déployer son chargement. Il passe par plusieurs vérifications pour compliquer l’analyse automatisée. Le dropper vérifie qu’il a été lancé par l’exécutable attendu, introduit un délai si cette vérification échoue, et exige des droits d’administrateur. Ce sont des comportements typiques d’une menace conçue pour s’ancrer durablement.

Une fois ces étapes franchies, le YobaDropper déploie le YobaLoader et établit une tâche planifiée. Cette tâche, conçue pour masquer son origine en se faisant passer pour une tâche de Windows Media Player émanant de Microsoft Corporation, permet au système de charger le YobaLoader au démarrage. Le malware refuse d’infecter les machines configurées avec un clavier russe ou d’autres langues des pays de la CEI, bien que l’ukrainien soit spécifiquement exclu de cette liste de blocage.

Le réseau de commande sans infrastructure dédiée

Ce qui frappe dans cette campagne, c’est son niveau d’OpSec. Plutôt que de s’appuyer sur un serveur de commande et de contrôle (C2) dédié, les attaquants bâtissent un réseau de communication très décentralisé. Le YobaLoader commence son travail en visitant un canal Telegram. Il télécharge la photo de profil du canal, puis utilise une partie de cette image pour générer un nom de domaine dynamique. Ainsi, les opérateurs peuvent changer le domaine simplement en modifiant cette image.

Le relais se fait ensuite via le service DNS over HTTPS de Google. Le loader interroge ce service pour obtenir un enregistrement TXT associé au domaine généré. Une fois cette information décryptée, il récupère le payload final depuis une plateforme d’hébergement comme Catbox. Cette architecture rend le blocage d’un seul point de communication quasiment inutile, car le domaine de destination est en constante mutation.

Dans la version analysée, le paquet final était le minage de cryptomonnaie via XMRig, un miner qui se connecte à son serveur par Tor et se met en pause lorsque l’utilisateur est actif. Pourtant, les chercheurs insistent sur le fait que le YobaLoader est un chargeur générique, capable de délivrer n’importe quel exécutable Windows ou script PowerShell. On doit donc considérer cette infection comme un compromis général, et non juste un problème de cryptomining.

Les indicateurs pointent vers une origine russe, avec une activité principale se déroulant dans le fuseau horaire UTC-4. Il faut surveiller la façon dont les systèmes authentifient les logiciels que l’on télécharge, car la provenance d’une application est désormais aussi importante que sa fonction déclarée.

Sources

Articles récents

Archives

Catégories