Malware Yoba oculta un minero de criptomonedas tras binarios de OpenAI y Anthropic
La campaña Yoba utiliza el auge de las herramientas de inteligencia artificial para distribuir malware mediante proyectos falsos en GitHub. Los atacantes emplean técnicas de carga lateral de DLL y evasión de análisis para instalar mineros de criptomonedas en los sistemas de las víctimas.
Check Point Research identificó la campaña Yoba, la cual utiliza la popularidad de herramientas de IA para distribuir una cadena de malware personalizada. Los atacantes crean proyectos falsos en GitHub que simulan ser aplicaciones de escritorio de IA, como GPT-5.6 Sol, GPT-6 Astra y Claude Opus. Estos repositorios, que se alojan en la infraestructura real de GitHub, utilizan técnicas de envenenamiento de SEO para aparecer en los primeros resultados de búsqueda de Google.
Estrategias de evasión y ejecución
Cada archivo ZIP malicioso contiene un ejecutable legítimo firmado por OpenAI o Anthropic (Setup.exe) y una DLL maliciosa (winmm.dll). El atacante utiliza la técnica de carga lateral de DLL (DLL sideloading) para que el binario legítimo cargue el componente malicioso. El dropper, denominado YobaDropper, verifica que el proceso que lo ejecuta sea Setup.exe antes de continuar; si no es así, entra en un estado de espera (sleep) de aproximadamente 12,73 días para evadir entornos de prueba (sandboxes).
El malware también incluye filtros geográficos, excluyendo usuarios con teclados en idiomas de la CEI (como ruso, bielorruso o kazajo). Una vez que el usuario otorga privilegios de administrador, el malware crea una carpeta en ProgramData y copia el archivo legítimo WMPDMC.exe de System32, colocando la carga útil bajo el nombre wmpdui.dll. Para mantener la persistencia, crea una tarea programada denominada Microsoft que se ejecuta tres minutos después del arranque del sistema.
Infraestructura de comando y control (C2)
La segunda etapa, YobaLoader, no utiliza un servidor de comandos tradicional. En su lugar, se conecta a un canal de Telegram (t[.]me/yoba_fanclub) para obtener una imagen de perfil. Los últimos 50 bytes de esta imagen generan una semilla para un generador de dominios en dedyn[.]io. El loader utiliza el servicio DNS-over-HTTPS (DoH) de Google para resolver registros TXT en dichos dominios, los cuales contienen enlaces a cargas útiles alojadas en Catbox. Esta estructura permite al atacante evadir el monitoreo de DNS pasivo y las protecciones de puerta de enlace (gateway).
Detalles del minero y variantes
La carga final es un minero XMRig 6.26.0 que utiliza un proxy SOCKS5 de Tor para conectarse a un servidor de minería cifrado. El minero puede consumir hasta el 85% de los hilos de la CPU y utiliza el controlador WinRing0 para optimizar el rendimiento. El sistema de tareas por DNS permite a los operadores entregar cualquier ejecutable PE o carga útil de PowerShell, lo que facilita la distribución de otras familias de malware en el futuro.
Por qué importa y qué hacer
El uso de nombres de productos conocidos (OpenAI, Anthropic) y la infraestructura legítima de GitHub dificultan la detección por parte de los usuarios y las herramientas de seguridad básicas. La sofisticación en la evasión de sandboxes y el uso de DNS-over-HTTPS para ocultar la comunicación con el servidor de comando representan un riesgo para las organizaciones que no monitorean el tráfico de red hacia servicios de mensajería o dominios de generación dinámica.
- Monitoree el uso inusualmente alto de la CPU en servidores y estaciones de trabajo.
- Bloquee el acceso a dominios de generación de nombres como dedyn[.]io en la red corporativa.
- Revise la existencia de tareas programadas con nombres genéricos como "Microsoft" que apunten a rutas fuera de System32.
- Verifique la presencia de archivos sospechosos en la ruta ProgramData.\WMProcess.
- Restrinja la ejecución de scripts de PowerShell y el uso de herramientas de minería en la red.
Relacionado:
Hackers chinos usan un día cero de VMware ESX y vulnerabilidades en firewalls
Atacantes calientan refrigeradores de supermercados franceses hasta 50°C
Objetivos nucleares y navales en Filipinas atacados por operador chino
Nota elaborada por Ciberseguridad en español a partir de información publicada por Security Affairs. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario