Malware Yoba usa falsos apps de IA para infectar computadores
Destaques
- •Campanha de malware chamada Yoba utiliza falsos aplicativos de inteligência artificial para infectar computadores.
- •A técnica de DLL sideloading permite que executáveis legítimos de empresas de IA carreguem códigos maliciosos.
- •O malware final instalado é um minerador de criptomoedas, mas pode distribuir ransomware e roubo de credenciais.
Uma campanha de malware recém-identificada, batizada de Yoba, está explorando a crescente demanda por ferramentas de inteligência artificial (IA) para infectar computadores. A Check Point Research, empresa de cibersegurança, descobriu que os criminosos por trás da operação criam falsos aplicativos de IA, simulam ser ferramentas como GPT-5.6 Sol, GPT-6 Astra e Claude Opus, e utilizam técnicas avançadas para enganar usuários e sistemas de segurança.
A estratégia da campanha envolve a manipulação de resultados de busca no Google, conhecida como SEO poisoning, para que esses projetos fraudulentos apareçam entre os primeiros resultados. Os criminosos também hospedam códigos maliciosos em plataformas como o GitHub, disfarçando-os como aplicativos de desktop de IA. É importante notar que a investigação não encontrou indícios de que os sistemas de IA legítimos, como o ChatGPT da OpenAI ou o Claude da Anthropic, tenham sido comprometidos.
Executáveis legítimos ocultam código malicioso
O principal método de infecção empregado pelo malware Yoba é a técnica de DLL sideloading. Essa abordagem consiste em fazer com que um programa legítimo carregue uma biblioteca dinâmica (DLL) maliciosa, em vez de suas próprias bibliotecas esperadas. Nos casos analisados, os pacotes de instalação continham arquivos executáveis genuínos, como o Setup.exe, assinados digitalmente pelas próprias empresas de IA. No entanto, esses pacotes também incluíam uma biblioteca maliciosa, a winmm.dll.
Quando a vítima executa o programa de instalação aparentemente legítimo, o sistema é induzido a carregar e executar também o código malicioso contido na DLL. O primeiro componente do malware, o YobaDropper, realiza verificações prévias no ambiente da vítima. Ele analisa o idioma do sistema, introduz pausas para dificultar a análise por softwares de segurança e exige privilégios de administrador para prosseguir com a infecção.
Comunicação com servidores por serviços legítimos
Após as verificações iniciais, o malware estabelece mecanismos de persistência, configurando tarefas agendadas no Windows para garantir sua execução contínua, mesmo após reinicializações do sistema. O segundo componente, o YobaLoader, é projetado para ocultar sua infraestrutura de comunicação. Ele utiliza serviços legítimos da internet para dificultar sua detecção.
Segundo a Check Point Research, o malware consulta um canal no Telegram e extrai informações da imagem de perfil de uma conta específica para gerar dinamicamente um domínio de destino. Em seguida, utiliza o serviço de DNS sobre HTTPS (DoH) do Google para obter dados que permitem baixar o próximo estágio da ameaça, hospedado na plataforma Catbox. Essa arquitetura permite que os operadores alterem facilmente a infraestrutura de comando e controle simplesmente modificando a imagem de perfil no Telegram.
Riscos para ambientes corporativos e recomendações
A carga final instalada nas infecções analisadas foi o XMRig, um minerador de criptomoedas. Este software foi configurado para reduzir sua atividade ou parar quando detecta a interação do usuário, uma tática para disfarçar a presença do malware. No entanto, a Check Point alerta que o YobaLoader é um carregador genérico, capaz de executar comandos em PowerShell e distribuir outras ameaças mais perigosas, como ransomware ou programas de roubo de credenciais (infostealers).
A campanha Yoba expõe os riscos do Shadow IT, a prática de funcionários utilizarem ferramentas não autorizadas pela empresa. A busca por aplicativos de IA pode levar à instalação de programas de fontes não confiáveis, abrindo portas para códigos maliciosos em redes corporativas. Para mitigar esses riscos, a Check Point recomenda que as organizações orientem seus funcionários a baixar ferramentas de IA apenas de canais oficiais, restrinjam privilégios de administrador, impeçam a execução de programas não homologados e monitorem comportamentos suspeitos.
O uso de mecanismos de proteção que analisam o comportamento dos processos e monitoram comunicações de rede suspeitas é fundamental para detectar ameaças que se disfarçam em serviços legítimos. A vigilância contínua e a adoção de políticas de segurança robustas são essenciais para proteger ambientes corporativos contra novas formas de ataque.
