Apps falsos de ChatGPT e Claude no GitHub instalam minerador XMRig
Uma campanha apelidada de Yoba distribui aplicativos desktop falsos de ChatGPT e Claude no GitHub, com projetos como GPT-5.6 Sol, GPT-6 Astra e Claude Opus. Segundo o The Hacker News, os pacotes abusam de executáveis assinados da OpenAI e da Anthropic para carregar o YobaLoader, que instala o minerador XMRig e recupera payloads via Telegram e DNS-over-HTTPS. Baixe clientes de IA apenas das fontes oficiais.
O que aconteceu
Cibercriminosos publicam aplicativos desktop falsos de ChatGPT e Claude no GitHub, com nomes como GPT-5.6 Sol, GPT-6 Astra e Claude Opus. Ao instalar, os pacotes usam executáveis assinados da OpenAI e da Anthropic para carregar malware que minera criptomoedas. A campanha foi apelidada de Yoba.
Por que importa
Funcionários que baixarem esses clientes falsos instalam o minerador XMRig, que consome processamento e energia, degrada o desempenho das máquinas e eleva custos. Os executáveis assinados e as marcas conhecidas dão aparência legítima aos pacotes e aumentam a chance de instalação interna.
O que fazer
Determine que clientes de ChatGPT e Claude sejam instalados apenas das fontes oficiais da OpenAI e da Anthropic. Verifique se alguém baixou projetos como GPT-5.6 Sol, GPT-6 Astra ou Claude Opus do GitHub e monitore consumo anormal de CPU.
Para o time técnico
- Afetados
- OpenAI e Anthropic (marcas falsificadas) Aplicativos desktop falsos de ChatGPT e Claude distribuídos no GitHub (campanha Yoba: projetos como GPT-5.6 Sol, GPT-6 Astra e Claude Opus) · Usuários que instalam os pacotes falsos do GitHub; nenhum produto ou versão real da OpenAI ou da Anthropic é citado como vulnerável. Projetos falsos: GPT-5.6 Sol, GPT-6 Astra e Claude Opus.
- Exploração
- Campanha ativa relatada pelo The Hacker News; análise posterior apelidou a campanha de Yoba e detalhou o carregamento lateral com executáveis assinados.
- Correção
- Fontes não citam correção. Mitigação: remover os apps falsos, instalar clientes apenas das fontes oficiais da OpenAI e da Anthropic e monitorar consumo anormal de CPU.
- Vetor
- Repositórios falsos no GitHub oferecem aplicativos desktop de ChatGPT e Claude; os instaladores usam executáveis legítimos assinados da OpenAI e da Anthropic para carregar lateralmente (sideload) o YobaLoader, que instala o minerador XMRig. Payloads são recuperados via Telegram e DNS-over-HTTPS. Exige que o usuário baixe e execute o app falso.
- Mais detalhes
- Campanha apelidada de Yoba; o primeiro relato descreveu apps falsos entregando YobaLoader e XMRig, e a nova análise detalhou os projetos falsos e o abuso de executáveis assinados. Relato e análise divulgados pelo The Hacker News.
Linha do tempo
Nova análise apelida a campanha de 'Yoba' e detalha que os projetos falsos, como GPT-5.6 Sol, GPT-6 Astra e Claude Opus, abusam de executáveis assinados para instalar os mineradores.
Primeiro relato da campanha de aplicativos falsos no GitHub com carregamento lateral de YobaLoader e XMRig.
Fontes 2 fontes
- @TheHackersNews @TheHackersNews
- Fake ChatGPT and Claude Apps Abuse Signed Executables to Deploy Crypto Miners The Hacker News
