Check Point Research pada 27 Oktober 2026 melaporkan kampanye malware bernama Yoba, yang menyamar sebagai aplikasi desktop ChatGPT dan Claude. Pelakunya memasang proyek GitHub palsu dengan nama GPT-5.6 Sol, GPT-6 Astra, dan Claude Opus, lengkap dengan situs GitHub Pages dan berkas ZIP untuk diunduh. Check Point menilai tautan proyek itu kemungkinan didorong ke halaman atas Google lewat SEO poisoning. Peneliti tidak menemukan bukti bahwa OpenAI maupun Anthropic dibobol.
Berkas resmi dipakai untuk memuat DLL berbahaya
Isi ZIP-nya memadukan executable asli bertanda tangan OpenAI atau Anthropic dengan sebuah DLL jahat. Ketika korban menjalankan program sah itu, program tersebut memuat DLL tadi lewat teknik DLL sideloading. DLL bernama YobaDropper ini hanya aktif jika dijalankan oleh program yang diharapkan, membutuhkan hak administrator, dan menunda aksinya sekitar 12,7 hari untuk mengelabui sandbox. Ia juga melewati komputer dengan tata letak papan ketik dari Rusia dan sejumlah negara bekas Uni Soviet.
Setelah lolos, YobaDropper menyalin biner Windows yang sah, menjatuhkan muatan kedua, dan membuat tugas terjadwal agar tetap berjalan. Tahap berikutnya, YobaLoader, memakai gambar dari kanal Telegram sebagai benih untuk menghasilkan domain, lalu membaca catatan DNS TXT lewat DNS-over-HTTPS milik Google untuk menerima perintah. Muatan akhirnya diunduh dari layanan berbagi berkas. Pada gelombang yang teramati, muatan itu adalah penambang kripto XMRig. Check Point mengingatkan bahwa loader ini bersifat generik, sehingga pelaku bisa mengirim muatan lain di kemudian hari.
Repositori pertama dibuat pada 16 Juli 2026, disusul Claude Opus pada 31 Agustus dan GPT-6 Astra pada 4 September. Laporan tidak menyebut jumlah unduhan atau korban. Pola menyamar sebagai perangkat lunak populer ini pernah muncul juga di ekstensi peramban, seperti tiga ekstensi Firefox palsu yang meniru dompet kripto.
Langkah yang perlu diambil pembaca
Unduh aplikasi AI hanya dari situs dan kanal resmi pengembangnya, bukan dari hasil pencarian, halaman GitHub Pages, atau tautan pihak ketiga. Tanda tangan digital hanya menjamin berkas yang ditandatangani itu sendiri, bukan file lain yang dibungkus dalam satu paket. Hindari menjalankan installer dari repositori yang tidak dikenal, dan batasi hak administrator pada akun harian supaya perangkat lunak tak terverifikasi tidak mudah memasang diri. Tim TI di perusahaan sebaiknya memakai alat keamanan yang memantau DLL yang dimuat dan koneksi keluar aplikasi, serta membatasi pemasangan perangkat lunak dari sumber yang belum disetujui. Pengguna yang pernah mengunduh proyek bernama itu perlu memeriksa tugas terjadwal dan proses mencurigakan, atau meminta bantuan tim keamanan. Indikator teknis lengkap tersedia di laporan Check Point.
Sumber: Check Point Research, blog Check Point, dan The Hacker News. Gambar: Check Point.