Finti client AI su GitHub diffondono malware e cryptojacker
Una nuova campagna sfrutta l'interesse verso le AI, usando pagine fake e SEO poisoning per distribuire il malware Yoba che mina Monero.
Un recente attacco informatico individutato da Check Point Research sfrutta la popolarità delle applicazioni AI come ChatGPT e Claude per distribuire malware. I cybercriminali hanno creato falsi client scaricabili, dal nome verosimile come GPT-5.6 Sol, GPT-6 Astra e Claude Opus, ospitati su GitHub.
Questi software fraudolenti vengono pubblicizzati tramite una massiccia campagna di SEO poisoning: centinaia di articoli e post appaiono nei risultati di Google, indirizzando le vittime verso repository GitHub che promettono innovative soluzioni AI. Una volta scaricato ed eseguito il file, l'utente installa Yoba, un malware progettato per mascherarsi da applicazione legittima e resistere a tentativi di rimozione.
Yoba verifica l'ambiente in cui opera e ritarda eventuali analisi di sicurezza, escludendo sistemi di alcune nazioni specifiche. Una volta attivo, scarica il payload finale: XMRig, un software open source realmente esistente usato per il cryptomining della criptovaluta Monero. Così, i sistemi infetti vengono sfruttati per generare profitti per i malintenzionati, spesso all'insaputa delle vittime.
