Descoberto pela Check Point, “Yoba” utiliza envenenamento de SEO no Google e projetos falsos no GitHub para atrair vítimas

A Check Point Research (CPR), divisão de Inteligência em Ameaças da Check Point Software, alerta para a descoberta do Yoba, uma nova e sofisticada campanha de malware projetada para explorar a crescente busca por ferramentas de Inteligência Artificial.  

A ameaça utiliza projetos fraudulentos hospedados no GitHub — personificando supostos aplicativos de desktop para modelos como “GPT-5.6 Sol”, “GPT-6 Astra” e “Claude Opus” — e emprega técnicas de envenenamento de motores de busca (SEO poisoning) para figurar nos primeiros resultados do Google quando os usuários pesquisam por essas ferramentas.

A investigação da Check Point destaca que nem o ChatGPT, nem o Claude, OpenAI ou Anthropic foram invadidos ou comprometidos. Em vez disso, os cibercriminosos aproveitam a confiança nas marcas de IA e utilizam uma técnica conhecida como carregamento lateral (DLL sideloading): o pacote baixado pela vítima contém arquivos executáveis — que são os programas de computador que realizam a instalação ou inicialização de softwares — oficiais e assinados digitalmente pelas empresas de IA (Setup.exe), mas que, ao serem iniciados, carregam silenciosamente uma biblioteca maliciosa (winmm.dll) empacotada no mesmo diretório.

“Essa campanha só reforça como a corrida de profissionais e empresas para adotar novas soluções de IA está sendo instrumentalizada pelos cibercriminosos”, afirma Eli Smadja, chefe de Pesquisa da Check Point Research. “Uma assinatura digital válida garante a autenticidade daquele programa específico, mas não dos arquivos que o acompanham. Os atacantes posicionaram a armadilha no exato ponto em que os usuários procuram por softwares, transformando a etapa de busca em parte do processo de engenharia social.”

Funcionamento técnico detalhado e evasão avançada

A análise da Check Point revela que o malware Yoba foi estruturado com múltiplas camadas de evasão, persistência e infraestrutura de comunicação não convencional. Inicialmente, o primeiro estágio do ataque, denominado YobaDropper, realiza checagens rigorosas no ambiente da vítima. Ele confirma se foi de fato disparado pelo programa legítimo, valida o idioma do sistema, aplica pausas temporais prolongadas para burlar verificações de ambientes virtuais de segurança (sandboxes) e exige privilégios de administrador para prosseguir. Assim que essa validação é concluída, o código configura tarefas agendadas no Windows para garantir sua inicialização automática e persistente junto com o sistema operacional.

Para esconder o tráfego malicioso e evitar bloqueios em listas negras tradicionais de IP, o Yoba utiliza plataformas web totalmente legítimas. O componente YobaLoader acessa um canal no Telegram e extrai dados diretamente da imagem de perfil da conta para gerar, de forma dinâmica, o nome de um domínio de destino. Em seguida, o malware faz uma consulta de DNS criptografada via serviço DNS-over-HTTPS do Google para obter as instruções finais de download hospedadas na plataforma Catbox, permitindo que os atacantes alterem o servidor de comando e controle apenas trocando a foto de perfil do Telegram. Embora as infecções analisadas pela CPR tenham instalado como estágio final o minerador de criptomoedas XMRig 6.26.0 — programado para pausar o processamento sempre que detecta o uso ativo do computador pelo usuário —, os pesquisadores alertam que o YobaLoader é um carregador genérico capaz de executar qualquer comando em PowerShell ou instalar ameaças ainda mais destrutivas, como ransomware ou ladrões de credenciais (infostealers).

Recomendações para mitigar riscos corporativos

A proliferação de softwares não autorizados baixados de forma independente por funcionários (Shadow IT) amplia a superfície de ataque dentro das organizações. Para conter campanhas complexas como a do Yoba, a Check Point Software recomenda que as empresas orientem rigorosamente suas equipes a realizarem o download de aplicações corporativas e ferramentas de IA exclusivamente por canais oficiais dos fornecedores, evitando links de terceiros, repositórios não validados e resultados orgânicos ou patrocinados de busca.

Paralelamente, as organizações devem limitar os privilégios de administrador nos endpoints e aplicar políticas rígidas de controle de aplicação para impedir a instalação e execução de arquivos não homologados. A adoção de soluções de segurança comportamental também é indispensável para monitorar a execução de processos e identificar se um programa legítimo está tentando carregar bibliotecas não assinadas ou realizar comunicações suspeitas. Por fim, estender a proteção proativa com inteligência de ameaças baseada em IA permite inspecionar tráfegos criptografados, identificar conexões a domínios gerados por algoritmo e bloquear acessos a repositórios de hospedagem externos não confiáveis.

Leia também: Opera lança Paste Protect, primeira defesa nativa contra ataques baseados no famoso Ctrl+C/Ctrl+V