Check Point Research pada 27 Oktober menerbitkan analisis kampanye malware bernama Yoba. Pelakunya membuat proyek GitHub palsu yang mengaku sebagai aplikasi desktop AI, lalu menyebarkan berkas ZIP berisi pemasang asli bertanda tangan OpenAI atau Anthropic bersama sebuah DLL berbahaya. Muatan akhir yang teramati adalah penambang kripto XMRig.
Cara korban digiring
Check Point menemukan empat repositori dengan nama seperti GPT-5.6 Sol, GPT-6 Astra, dan Claude Opus. Halaman GitHub Pages milik repositori itu menyediakan tombol unduh yang mengarah ke berkas ZIP di GitHub Releases. Menurut laporan tersebut, pelaku memakai SEO poisoning supaya halaman palsu muncul tinggi di hasil pencarian Google. Repositori itu tidak memakai bintang atau fork palsu, jadi jumlah bintang bukan petunjuk yang bisa diandalkan.
Di dalam ZIP ada Setup.exe asli yang bertanda tangan resmi dan berkas winmm.dll yang sudah diganti. Saat Setup.exe dijalankan, Windows memuat DLL itu lewat teknik DLL sideloading, sehingga kode berbahaya berjalan di dalam proses yang tampak tepercaya. Pola serupa pernah muncul pada kasus spyware uCreator, yang juga bertumpu pada aplikasi yang dimodifikasi.
Yang dilakukan malware di komputer
Komponen pertama, YobaDropper, memeriksa nama proses induknya dan berhenti bila berjalan di tempat lain, yang berguna untuk menghindari sandbox. Ia juga melewati komputer dengan tata letak papan ketik kawasan CIS dan hanya lanjut jika punya hak administrator. Setelah itu ia menyalin berkas Windows Media Player ke folder ProgramData, menaruh DLL tahap kedua di sampingnya, dan membuat tugas terjadwal berkedok komponen Microsoft yang aktif tiga menit setelah komputer menyala.
Tahap kedua, YobaLoader, mengambil nama domain dari data gambar profil sebuah kanal Telegram, lalu menerima perintah terenkripsi lewat rekaman DNS TXT melalui DNS-over-HTTPS. Muatan berikutnya diunduh dari layanan hosting berkas. Penambang XMRig 6.26.0 disuntikkan ke svchost.exe, menambang lewat Tor, dan berhenti sejenak saat pengguna aktif. Check Point menilai pemuat ini bersifat generik, sehingga gelombang berikutnya bisa membawa ransomware atau pencuri data.
Soal pelaku, Check Point hanya menyebut indikator yang mengarah ke asal Rusia, seperti pengecualian bahasa CIS dan jam kompilasi UTC-4. Perusahaan itu menegaskan hal tersebut belum merupakan atribusi yang pasti. Laporan ini tidak memuat nomor CVE karena yang disalahgunakan adalah perilaku Windows dan kepercayaan pengguna, bukan celah di produk OpenAI atau Anthropic, sehingga tidak ada patch yang perlu dipasang.
Langkah yang perlu diambil
Unduh aplikasi AI hanya dari situs resmi vendornya, dan periksa pemilik repositori, usia akun, riwayat commit, serta jumlah kontributor sebelum menjalankan apa pun dari GitHub. Tim TI dapat memantau program bertanda tangan yang memuat DLL dari folder yang bisa ditulis pengguna, tugas terjadwal berlabel Microsoft yang tidak dikenal, dan lalu lintas DNS-over-HTTPS yang janggal. Membatasi hak administrator dan memblokir sumber perangkat lunak yang tidak dikenal juga memperkecil peluang pemuat ini berjalan. Pengguna yang sudah memasang aplikasi dari sumber tak resmi sebaiknya memeriksa tugas terjadwal dan memindai komputernya dengan antivirus.
Sumber: Check Point Research dan Cyber Security News. Gambar: Check Point Research.