Yoba cache un mineur dans de faux ChatGPT et Claude

Yoba est une campagne de distribution de logiciels malveillants qui se fait passer pour des applications de bureau ChatGPT et Claude. Selon un rapport de Check Point Research publié le 29 octobre 2026 et relayé par The Hacker News, elle piège les utilisateurs via de faux dépôts GitHub pour installer YobaLoader, lequel déploie finalement le mineur de cryptomonnaie XMRig par détournement de chargement de bibliothèque (DLL sideloading).

Qu'est-ce que la campagne Yoba ?

Yoba désigne un ensemble de faux projets GitHub qui imitent des applications d'intelligence artificielle, sous des noms comme « GPT-5.6 Sol », « GPT-6 Astra » ou « Claude Opus ». Selon Check Point, qui soupçonne un référencement artificiel (SEO poisoning) sans en avoir trouvé la preuve formelle, ces pages décrivent de fausses fonctionnalités pour paraître crédibles. Les premiers dépôts remonteraient à juillet 2026, avec des versions malveillantes mises en ligne fin août 2026.

L'archive téléchargée contient deux fichiers : un exécutable authentique et signé de Codex ou de Claude, et une bibliothèque winmm.dll malveillante que ce programme légitime charge automatiquement au démarrage. C'est cette technique de détournement de chargement de bibliothèque qui donne sa crédibilité initiale à l'installation, puisque le fichier qui s'exécute visiblement est bien signé par son éditeur d'origine.

Comment fonctionne la chaîne d'infection

Le premier module, que Check Point nomme YobaDropper, vérifie le nom du processus hôte avant de s'activer, ce qui déjoue les analyses automatiques qui exécutent la bibliothèque seule. Il patiente ensuite artificiellement l'équivalent de plusieurs jours pour tromper les bacs à sable d'analyse, avant de copier un exécutable Windows légitime dans un nouveau dossier pour démarrer une seconde chaîne de chargement, toujours par la même technique.

Le second module, YobaLoader, récupère une image publiée sur une chaîne Telegram et utilise ses derniers octets comme graine pour générer, par algorithme, des noms de domaine sous l'extension dedyn.io. Il interroge ensuite le service DNS chiffré de Google pour obtenir, via un enregistrement TXT, l'adresse du prochain élément de la chaîne, hébergé sur une plateforme de partage de fichiers. La charge finale est injectée dans le processus système svchost.exe : il s'agit du mineur de cryptomonnaie XMRig.

Qui est visé par Yoba ?

Check Point ne nomme aucune victime précise : la campagne cible largement les internautes intéressés par les outils d'intelligence artificielle, via la recherche et des pages GitHub optimisées pour apparaître dans les résultats. Les premières versions du logiciel malveillant excluaient uniquement les systèmes configurés en russe ; les versions récentes évitent aussi plusieurs claviers d'Europe de l'Est et d'Asie centrale, ce qui n'est pas une preuve d'attribution mais une indication géographique courante dans ce type de campagne.

Comment se protéger de Yoba ?

Le signal le plus fiable reste la source de téléchargement : les applications officielles d'OpenAI et d'Anthropic se récupèrent sur leurs sites respectifs, jamais sur un dépôt GitHub ou via un lien sponsorisé dans un moteur de recherche.

• Téléchargez les outils d'IA uniquement depuis les sites officiels des éditeurs, jamais depuis un dépôt de code ou une publicité en ligne.
• Alertez sur toute bibliothèque winmm.dll inattendue placée à côté d'un exécutable signé, ou chargée depuis le dossier ProgramData.
• Surveillez la création de nouvelles tâches planifiées qui lancent une copie d'un binaire système légitime depuis un dossier non système.
• Repérez le trafic DNS chiffré (DoH) inhabituel ainsi que les connexions vers dedyn.io, catbox.moe ou Telegram émises par des processus qui ne sont pas des navigateurs.
• Signalez tout processus svchost.exe à l'activité réseau ou à la charge processeur anormale, signe possible d'un mineur de cryptomonnaie actif.

Comme pour le ver GlassWorm qui ciblait les extensions VS Code (voir notre article sur GlassWorm et les extensions VS Code), l'engouement pour un écosystème logiciel populaire en fait un vecteur de diffusion idéal pour un attaquant. L'intérêt général pour les outils d'intelligence artificielle attire aussi d'autres types de menaces, comme le montre notre article sur le LLMjacking et le vol d'identifiants IA. Pour analyser un exécutable suspect avant de l'ouvrir ou vérifier la réputation d'un domaine inhabituel, utilisez notre analyseur d'URL suspecte et notre outil d'OSINT domaine.

L'avis du CSIRT

Priorisez la sensibilisation plutôt que la détection technique seule : Yoba repose avant tout sur l'erreur humaine du téléchargement, et aucune signature de fichier ne protège un utilisateur qui installe volontairement un programme piégé. Rappelez aux équipes que l'intérêt pour un outil d'intelligence artificielle, même légitime dans son usage, ne justifie jamais de contourner le canal de téléchargement officiel de son éditeur.

Côté détection, concentrez-vous sur les comportements plutôt que sur les indicateurs statiques, que les opérateurs changent facilement : une bibliothèque partagée déposée juste avant ou après l'installation d'un nouvel exécutable, une tâche planifiée qui pointe vers un binaire copié dans un dossier applicatif inhabituel, ou des requêtes DNS chiffrées répétées vers des domaines qui changent à chaque poste sont plus révélateurs qu'une liste de hachages déjà obsolète au moment de sa diffusion.

Le piège classique sur ce type d'infection : se concentrer sur le mineur de cryptomonnaie final et négliger la porte d'entrée. Un poste qui a exécuté YobaLoader a aussi pu recevoir une charge différente à un autre moment de la campagne. Après nettoyage, vérifiez systématiquement l'absence de toute tâche planifiée ou bibliothèque résiduelle, et pas seulement l'arrêt du processus de minage identifié.

Points clés

Yoba est une campagne qui distribue de fausses applications de bureau ChatGPT et Claude via des dépôts GitHub, pour installer YobaLoader puis le mineur de cryptomonnaie XMRig par détournement de chargement de bibliothèque. Aucune victime précise n'est identifiée : la campagne cible largement les internautes intéressés par l'intelligence artificielle. La meilleure protection reste de télécharger les outils d'IA uniquement depuis les sites officiels des éditeurs, et de surveiller les bibliothèques, tâches planifiées et requêtes DNS chiffrées inhabituelles plutôt que de se fier à une liste d'indicateurs statiques déjà datée.