Taidgh Barron / Zuma Press / Europa Press
MADRID 28 out. (Portaltic/EP) -
Uma sofisticada campanha de “malware” chamada Yoba é capaz de se passar pelo “software” utilizado para a instalação de algumas das ferramentas de Inteligência Artificial (IA) mais conhecidas, como o ChatGPT e o Claude, com o objetivo de infectar os computadores dos usuários sem que eles percebam.
A Check Point Research, divisão de Inteligência de Ameaças da Check Point Software Technologies, publicou um estudo no qual destaca que, devido ao enorme interesse por ferramentas como o ChatGPT e o Claude, os invasores estão aproveitando o momento para criar repositórios e páginas no GitHub com nomes falsos dos modelos de ponta da OpenAI e da Anthropic, como ‘GPT-5.6 Sol’ ou ‘Claude Opus’.
Graças a esses nomes, o próximo passo na campanha de “malware” é posicionar essas páginas nos mecanismos de busca por meio da técnica de envenenamento de mecanismos de busca, ou “SEO poisoning”, para que os usuários baixem os instaladores empacotados com os componentes maliciosos do Yoba, que se passam por arquivos legítimos da OpenAI e da Anthropic.
De fato, conforme indica a Check Point Research, as soluções de ambas as empresas, assim como seus sistemas de TI, não foram comprometidas, mas os executáveis legítimos e assinados digitalmente pelas próprias empresas criadoras do ChatGPT e do Claude, incluídos nos instaladores, serviram para que o usuário acabasse instalando em seu computador uma biblioteca DLL maliciosa carregada de forma secundária.
A instalação dessa DLL é realizada por meio de uma técnica conhecida como “DLL Sideloading”, que permite ao invasor contornar parte das proteções de segurança normalmente aplicadas na instalação de um arquivo que, embora seja genuíno, vem acompanhado do “malware” que acaba infectando o computador do usuário.
Para que a infecção ocorra, o Yoba se caracteriza por um alto grau de sofisticação, pois, em primeiro lugar, verifica o idioma regional e os privilégios de administração do computador para evitar as análises automatizadas dos analistas de segurança, e permanece de forma persistente por meio de tarefas agendadas, aguardando a transmissão de comandos e o download de módulos adicionais para perpetrar o ataque final.
É aqui que entram em jogo serviços web legítimos dos quais o Yoba se vale para extrair as informações de domínio da imagem de perfil de um canal do Telegram, consultar o serviço DNS-over-HTTPS do Google para obter registros TXT criptografados e baixar o arquivo executável final de plataformas como o Catbox, uma plataforma pública de armazenamento.
A Check Point Research recomenda tratar esse tipo de incidente como uma violação total do sistema do computador do usuário, já que o YobaLoader é capaz de executar qualquer tipo de arquivo executável ou “script” no PowerShell, o que permite realizar todos os tipos de ataques ao computador do usuário.
Por fim, a Check Point Research alerta que a melhor maneira de evitar a instalação desse “malware” é sempre utilizar os canais oficiais do desenvolvedor para baixar os instaladores do ChatGPT ou do Claude, restringir permissões de administração a usuários não privilegiados e implementar ferramentas de segurança defensiva responsáveis por interceptar comunicações maliciosas em qualquer fase da cadeia de ataque.
Esta notícia foi traduzida por um tradutor automático