Instalator podpisany przez OpenAI to nie to samo co bezpieczny plik do pobrania
Check Point Research opublikował 27 października ustalenia dotyczące kampanii, którą nazywa Yoba. Przynętą jest aplikacja desktopowa asystenta AI, który nie istnieje: GPT-5.6 Sol, GPT-6 Astra, Claude Opus. Każda ma projekt na GitHubie, schludną stronę GitHub Pages z opisem i przycisk pobierania. Żadnych sztucznie napompowanych gwiazdek, żadnych fałszywych forków. Ludzie trafiają tam, bo strony dopracowano pod wyniki wyszukiwania, a link do GitHuba wygląda na bezpieczne miejsce.
Sztuczka w środku jest stara i wciąż działa. W każdym archiwum ZIP leży prawdziwy, poprawnie podpisany Setup.exe od OpenAI albo Anthropic, a obok plik o nazwie winmm.dll, który nie pochodzi od żadnej z tych firm. Windows ładuje tę bibliotekę z katalogu obok programu, więc autentyczny instalator przy okazji uruchamia kod napastnika. Podpis pliku wykonywalnego jest w pełni poprawny. Po prostu nie ręczy za resztę katalogu, albo jak ujął to Check Point, podpis "verifies the signer and integrity of an individual executable, not every component distributed with it".
To, co trafia na dysk, to XMRig 6.26.0, koparka kryptowalut wycelowana w adres Tor i utrzymywana przy życiu przez zadanie zaplanowane. Na co dzień objawia się to laptopem, który bez wyraźnego powodu grzeje się, szumi i zwalnia. Ani OpenAI, ani Anthropic nie zostały tu zhakowane; napastnicy po prostu przepakowali pliki, które każdy może pobrać.
Obrona jest nudna i skuteczna: pobierajcie oprogramowanie AI ze strony producenta, wpisanej z ręki w pasek adresu, a nie znalezionej w wynikach wyszukiwania, i traktujcie wydanie na GitHubie jak plik wrzucony przez nieznajomego, a nie jak rekomendację. Kontrola bezpieczeństwa w Tendvane wypisuje zainstalowane programy i to, co startuje razem z Windows, oznaczając wpisy wyglądające na niechciane, i zwykle właśnie tak wychodzi na jaw coś o nazwie znajomej tylko w połowie. Oznacza je, a nie usuwa, ale to zauważenie jest krokiem, do którego większość ludzi nigdy nie dochodzi.