Yoba malware hides in fake desktop versions of ChatGPT and Claude

In­ves­ti­ga­do­res de se­gu­ri­dad han des­cu­bier­to una cam­pa­ña ma­li­cio­sa que uti­li­za fal­sos pro­yec­tos de GitHub que si­mu­lan ser ver­sio­nes de es­cri­to­rio de apli­ca­cio­nes de in­te­li­gen­cia ar­ti­fi­cial co­no­ci­das. Los ata­can­tes crea­ron re­po­si­to­rios y pá­gi­nas para he­rra­mien­tas fic­ti­cias, lo­gran­do po­si­cio­nar­las en los pri­me­ros pues­tos de los mo­to­res de bús­que­da ex­ter­nos me­dian­te téc­ni­cas de op­ti­mi­za­ción ma­li­cio­sa, a pesar de no con­tar con in­ter­ac­cio­nes ar­ti­fi­cia­les den­tro de la pro­pia pla­ta­for­ma de alo­ja­mien­to.

Los ar­chi­vos com­pri­mi­dos dis­tri­bui­dos con­tie­nen pro­gra­mas le­gí­ti­mos fir­ma­dos por las em­pre­sas crea­do­ras de las he­rra­mien­tas ori­gi­na­les, acom­pa­ña­dos de una bi­blio­te­ca ma­li­cio­sa que se eje­cu­ta de ma­ne­ra si­mul­tá­nea para eva­dir de­fen­sas. El soft­wa­re ma­li­cio­so in­clu­ye me­ca­nis­mos para no in­fec­tar equi­pos con de­ter­mi­na­dos idio­mas y re­quie­re per­mi­sos de ad­mi­nis­tra­dor para con­fi­gu­rar una tarea pro­gra­ma­da que imita un pro­ce­so del sis­te­ma ope­ra­ti­vo.

Para ope­rar sin de­pen­der de una in­fra­es­truc­tu­ra de co­man­do y con­trol tra­di­cio­nal, el com­po­nen­te prin­ci­pal con­sul­ta un canal de men­sa­je­ría, uti­li­za la ima­gen de per­fil ac­tual para ge­ne­rar nom­bres de do­mi­nio y em­plea ser­vi­cios ha­bi­tua­les de red y alo­ja­mien­to de ar­chi­vos para ob­te­ner una carga final des­ti­na­da a la mi­ne­ría de crip­to­mo­ne­das, la cual se de­tie­ne cuan­do el usua­rio uti­li­za el equi­po. Los es­pe­cia­lis­tas ad­vier­ten que este car­ga­dor tiene la ca­pa­ci­dad de des­car­gar otros pro­gra­mas y que una ver­sión pre­via del soft­wa­re uti­li­za­ba como se­ñue­lo una he­rra­mien­ta de pro­gra­ma­ción ba­sa­da en in­te­li­gen­cia ar­ti­fi­cial.