Check Point Research melaporkan kampanye malware bernama Yoba yang memakai popularitas ChatGPT dan Claude sebagai umpan. Penyerang menerbitkan proyek GitHub palsu dengan nama seperti “GPT-5.6 Sol”, “GPT-6 Astra”, dan “Claude Opus”, lalu menyelipkan malware di samping berkas resmi bertanda tangan OpenAI dan Anthropic. Hasil akhir yang teramati adalah penambang kripto XMRig yang bersembunyi di dalam proses Windows yang sah.
Cara korban terjerat
Setiap umpan terdiri dari repositori GitHub, halaman GitHub.io yang menjelaskan “aplikasi” itu, dan berkas ZIP di halaman rilis. Menurut Check Point, proyek-proyek ini tidak memakai bintang atau fork palsu, tetapi tampil tinggi di hasil pencarian Google, yang dinilai hasil peracunan SEO. Repositori dibuat sejak sekitar Juli 2026, dan rilis berbahaya muncul mulai 30 dan 31 Agustus. Varian awal pada Juni memakai berkas Cursor sebagai pengantar.
Di dalam ZIP ada berkas Setup.exe asli bertanda tangan OpenAI atau Anthropic, ditemani winmm.dll berbahaya. Program resmi itu memuat DLL tersebut dengan sendirinya lewat teknik DLL sideloading, sehingga alat keamanan lebih sulit curiga. Check Point juga mencatat tingkat deteksi awalnya rendah.
Rantai infeksi tanpa server komando biasa
Tahap pertama, YobaDropper, meminta hak administrator dan menolak berjalan di sandbox. Setelah mendapat izin, ia menyalin program Windows Media Player ke folder ProgramData, menaruh pemuat tahap kedua bernama YobaLoader, dan membuat tugas terjadwal yang menyamar sebagai komponen Microsoft agar tetap aktif setelah komputer menyala ulang.
YobaLoader tidak menghubungi server komando biasa. Ia mengambil foto profil sebuah kanal Telegram untuk membentuk nama domain, lalu membaca catatan TXT lewat DNS over HTTPS untuk mendapat tautan muatan berikutnya. Muatan yang teramati adalah XMRig, yang disuntikkan ke svchost.exe dan menambang lewat Tor sambil berhenti saat pengguna aktif. Check Point menegaskan pemuat ini bersifat umum, sehingga gelombang berikutnya bisa membawa malware lain.
Check Point menduga operatornya berbahasa Rusia dan bekerja di zona waktu UTC-4, tetapi ini penilaian, bukan atribusi yang dipastikan. Laporan tidak menyebut jumlah korban dan tidak memuat nomor CVE, karena serangan ini mengandalkan tipuan pengguna, bukan celah perangkat lunak. Kampanye ini berbeda dari halaman unduhan Claude palsu yang menyebarkan pencuri data AMOS, tetapi sama-sama memanfaatkan nama alat AI.
Langkah yang perlu diambil pembaca
Unduh aplikasi ChatGPT dan Claude hanya dari situs resmi OpenAI dan Anthropic, bukan dari repositori GitHub yang muncul di hasil pencarian. Jangan menjalankan Setup.exe dari ZIP tanpa asal yang jelas, meski tanda tangannya tampak sah, dan curigai installer yang meminta hak administrator tanpa alasan. Tim keamanan bisa mencari salinan WMPDMC.exe di ProgramData, tugas terjadwal yang mengaku buatan Microsoft, lalu lintas Telegram dari proses tak lazim, kueri DNS ke dedyn.io lewat dns.google, serta lonjakan CPU yang tak jelas penyebabnya. Daftar hash dan aturan YARA tersedia di laporan Check Point.
Sumber: Check Point Research dan Security Affairs. Gambar: Check Point Research.