De faux installateurs de ChatGPT et Claude cachent un malware de minage

OOndine

La campagne Yoba diffuse sur GitHub de faux projets d’applications de bureau présentées comme destinées aux modèles récents d’OpenAI et d’Anthropic, selon Clubic. Certains dépôts seraient apparus en tête des résultats Google, probablement à la suite d’un empoisonnement du référencement, selon Check Point Research. Les archives ZIP associent un installateur authentique, signé par OpenAI ou Anthropic, à un faux fichier winmm.dll. Cette bibliothèque dynamique peut être chargée par Windows au lancement de l’installateur. Le code malveillant s’exécute alors sous couvert d’un programme légitime : l’installateur signé est bien authentique, mais il est accompagné d’un fichier piégé qui détourne son lancement. Le malware installe ensuite une tâche planifiée avec des droits élevés, ce qui lui permet de rester actif sur l’ordinateur. Il utilise aussi XMRig pour miner de la cryptomonnaie sur la machine infectée, mobilisant ainsi ses ressources. Les ordinateurs configurés en français ne sont pas épargnés par cette campagne, que Check Point Research suit depuis 2 mois. L’organisme relève des indices d’une possible origine russe, sans que cela établisse l’identité des auteurs. Selon Check Point Research, le logiciel éviterait notamment certaines dispositions de clavier russes ou de pays de la Communauté des États indépendants, à l’exception de l’Ukraine.