Aplicaciones falsas de IA difunden el malware Yoba, que instala un minero de Monero

Una campaña de ciberdelincuencia utiliza aplicaciones descargables falsas de GPT-5.6 Sol, GPT-6 Astra y Claude Opus para distribuir malware, según Check Point Research (CPR). Las aplicaciones están alojadas en GitHub y se promocionan mediante resultados de búsqueda. CPR afirma que lleva dos meses siguiendo la campaña.

Las aplicaciones falsas instalan Yoba, que puede configurarse para iniciarse automáticamente cada vez que se reinicia el ordenador y se presenta como software legítimo de Windows. Yoba comprueba si se ejecuta en un entorno aislado y puede retrasar su ejecución dos semanas para dificultar el análisis. También comprueba el teclado para evitar infectar sistemas en Rusia, Bielorrusia, Kazajistán y Uzbekistán. CPR no indicó dónde están los atacantes.

Yoba se conecta a un servidor de mando y control para descargar su carga útil final. CPR afirma que actualmente la campaña lo utiliza para desplegar XMRig, un programa legítimo y de código abierto para minar Monero. El minero utiliza la capacidad de procesamiento y la electricidad de las víctimas. El artículo señala que CPR no ha especificado cuántos dispositivos se han visto afectados.

Según CPR, las páginas de GitHub de la campaña aparecen en los primeros puestos de los resultados de Google para algunas palabras clave. Los atacantes también han creado páginas de GitHub separadas con enlaces a los archivos de instalación. El artículo describe el envenenamiento de resultados de búsqueda (SEO) como una táctica que usa publicaciones en internet con enlaces a páginas objetivo para influir en su posicionamiento, y afirma que las herramientas de IA han abaratado la producción de esas publicaciones.