Nova kampanja sajber kriminala koristi imena popularnih digitalnih alata da namami korisnike da preuzmu zlonamerni softver. Istraživači iz Check Point Research-a prate aktivnost tokom poslednja dva meseca i otkrili su lažne klijente pod nazivima GPT-5.6 Sol, GPT-6 Astra i Claude Opus.
Napadači su postavili stranice na GitHub-u koje izgledaju kao mesta za preuzimanje samostalnih aplikacija. Umesto stvarnog programa, instalacione datoteke sadrže zlonamerni softver pod nazivom Yoba. Stranice se pojavljuju visoko u Google rezultatima za određene pojmove, što ukazuje na korišćenje manipulacije optimizacijom za pretraživače, poznate kao SEO poisoning.
Ovaj pristup se oslanja na veliki broj objava, blogova i drugih tekstova postavljenih na internetu, koji vode ka određenoj stranici. Tako pretraživači mogu da je ocene kao relevantnu i prikažu je ispred legitimnih rezultata. U konkretnoj kampanji, kriminalci su napravili i dodatne GitHub stranice sa opisom navodnih aplikacija i vezama ka instalacionim datotekama.
Nakon pokretanja, Yoba pokušava da ostane aktivan i posle ponovnog pokretanja računara. Predstavlja se kao legitimni Windows softver, što može da oteža njegovo uočavanje prosečnom korisniku. Zlonamerni program takođe proverava da li radi u izolovanom okruženju za analizu.
Da bi dodatno izbegao otkrivanje, Yoba može namerno da odloži aktiviranje do dve nedelje. Takođe proverava raspored tastature i ne nastavlja sa infekcijom na sistemima povezanim sa Rusijom, Belorusijom, Kazahstanom i Uzbekistanom.
U poslednjoj fazi, program se povezuje sa kontrolnim serverom i preuzima dodatni teret. Trenutno su istraživači primetili da se instalira XMRig, legitimni alat otvorenog koda za rudarenje kriptovalute Monero. Kada se postavi bez znanja vlasnika, on troši procesorske i energetske resurse zaraženog uređaja, dok prihod od rudarenja ide napadačima.
Korisnici bi trebalo pažljivo da provere izvor, programera i adresu stranice pre preuzimanja softvera, naročito kada do njega dolaze putem rezultata pretrage.