🛡 MALWARE 🛡

El malware Yoba oculta un minero de criptomonedas tras binarios legítimos de OpenAI y Anthropic.

⏰31 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

El malware Yoba oculta un minero de criptomonedas tras binarios legítimos de OpenAI y Anthropic.

⟫ 30/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

**La Campaña Yoba: Una Amenaza Sofisticada en el Uso de Herramientas de IA para Distribuir Malware**

En el contexto actual de la ciberseguridad, la proliferación de herramientas de inteligencia artificial (IA) ha captado la atención no solo de los desarrolladores y usuarios, sino también de los ciberdelincuentes. La reciente campaña de malware denominada "Yoba", rastreada durante dos meses por Check Point Research, ilustra cómo los atacantes han aprovechado la popularidad de estas herramientas para lanzar una cadena de malware personalizada. Esta situación es de gran relevancia, ya que afecta a una amplia gama de usuarios, desde individuos hasta grandes empresas que pueden ser blanco de estas tácticas engañosas.

Los atacantes detrás de Yoba han creado proyectos falsos en GitHub que simulan ser aplicaciones de escritorio de IA, como GPT-5.6 Sol, GPT-6 Astra y Claude Opus. Estos proyectos no solo son visualmente convincentes, sino que además se ejecutan en la infraestructura legítima de GitHub, lo que les otorga un aire de legitimidad ante posibles víctimas. A través de tácticas de SEO envenenado, los atacantes logran que estos repositorios aparezcan entre los primeros resultados de búsqueda en Google, optimizando títulos, descripciones y dominios de hospedaje.

El primer repositorio de esta campaña apareció en julio de 2026, pero las primeras versiones maliciosas fueron lanzadas el 30 y 31 de agosto, con una tercera versión que se publicó cinco días después, el 4 de septiembre. Cada uno de estos repositorios utiliza una dirección de Outlook diferente, y los tiempos de commit indican zonas horarias UTC+4, UTC-4 y UTC+3, lo que sugiere un intento deliberado de ocultar la verdadera ubicación de los atacantes.

El mecanismo de engaño es ingenioso. Cada archivo ZIP que los atacantes distribuyen contiene un ejecutable legítimo y firmado de OpenAI o Anthropic, denominado Setup.exe, junto a un archivo malicioso llamado winmm.dll. Este programa legítimo carga automáticamente la DLL maliciosa, utilizando una técnica conocida como "DLL sideloading", que permite eludir las protecciones de seguridad.

Lo inquietante es que estos archivos ZIP no estaban siquiera protegidos con contraseña, lo que es inusual, ya que los atacantes suelen utilizar contraseñas para impedir que las herramientas de seguridad descompriman y escaneen automáticamente los archivos. Sin embargo, estos binarios ya presentaban tasas de detección muy bajas, empleando técnicas de anti-sandbox y otros métodos para esquivar el análisis. La fecha de compilación de la DLL también proporciona una pista: fue construida el mismo día en que se añadió al archivo, a diferencia de los archivos legítimos que la acompañan.

El componente malicioso, denominado YobaDropper, realiza una verificación del entorno antes de ejecutarse. Calcula un hash del nombre del programa que lo lanzó y solo continúa si el nombre es Setup.exe. Esto significa que cualquier sandbox que intente ejecutar la DLL de forma aislada fallará en esta verificación. En caso de que falle, el proceso no se cierra; en su lugar, entra en un estado de espera de 200,000 ciclos, cada uno de 5.5 segundos, lo que suma aproximadamente 12.73 días.

Además, el malware evita infectar a víctimas en países de la CEI al comprobar el diseño del teclado y excluir configuraciones de idiomas como ruso, bielorruso, tayiko, armenio, azerbaiyano, georgiano, kazajo, kirguís, turcomano, uzbeko y tártaro. Curiosamente, Ucrania, que a menudo aparece en listas de exclusión similares, no está incluida.

Una vez que el malware obtiene los privilegios necesarios, crea una carpeta llamada WMProcess en ProgramData, copia el archivo legítimo WMPDMC.exe desde System32 a esta carpeta y coloca la carga útil de segunda etapa, wmpdui.dll, en el mismo lugar.

El código malicioso asegura su persistencia utilizando una tarea programada disfrazada como Microsoft. El autor se establece como Microsoft Corporation, la descripción dice que recolecta metadatos del dispositivo para Windows Media Player y se ejecuta tres minutos después del arranque como Local System. La tarea lanza el programa legítimo, que a su vez carga la DLL maliciosa.

La segunda etapa, conocida como YobaLoader, comparte código con el dropper, lo que apunta a que provienen del mismo desarrollador. Este componente solo se ejecuta bajo WMPDMC.exe y utiliza una semilla de hash diferente a la del dropper, lo que separa las etapas y debilita la detección basada en hashes. Su función es encontrar su carga útil sin depender de un servidor de comandos clásico.

YobaLoader se conecta a un canal de Telegram, t[.]me/yoba_fanclub, y descarga la imagen de perfil de dicho canal. Los últimos 50 bytes de la imagen se utilizan para generar dominios en la forma adjetivo-sustantivo-verbo-número en dedyn[.]io. Cambiando la imagen, el operador puede obtener un nuevo dominio.

A continuación, solicita un registro TXT en ese dominio a través del servicio DNS-over-HTTPS de Google. La respuesta está firmada, y el loader verifica la firma antes de desencriptarla, lo que le proporciona un enlace a una carga útil en Catbox. Check Point señala que esta dependencia de DoH y el uso de hospedaje común buscan eludir la monitorización pasiva de DNS y algunas protecciones de puerta de enlace, evitando así la infraestructura de comando y control dedicada.

El operador tiene la capacidad de decidir cómo se ejecuta la carga útil. Puede inyectarla en svchost.exe, guardarla como un ejecutable tras eliminar la marca Zone.Identifier, o ejecutarla como un script oculto de PowerShell eludiendo las políticas de ejecución.

El payload inyectado en svchost.exe es un minero XMRig 6.26.0 con una línea de comandos oculta que apunta a un endpoint onion habilitado para TLS a través de un proxy local Tor SOCKS5. Este minero puede descomprimir y iniciar Tor 0.4.9.12 junto con lyrebird 0.8.1, monitorear la actividad de entrada del usuario para pausar la minería y cargar condicionalmente el servicio del controlador WinRing0 para optimizar la minería basada en MSR.

Sin embargo, YobaLoader no se limita a la minería de criptomonedas. Su sistema de tareas DNS permite a los operadores entregar cualquier ejecutable PE o carga útil de PowerShell, lo que significa que futuros ataques podrían distribuir otras familias de malware.

Versiones anteriores de esta campaña aparecieron en junio de 2026. Estas utilizaban Cursor.exe para el sideloading, un acceso directo de inicio para la persistencia y excluían únicamente a Rusia. También empleaban .aber[.]ir en lugar de dedyn[.]io e incluían verificaciones de anti-debugging y anti-VM que las versiones posteriores eliminaron.

Check Point presume que los atacantes podrían tener orígenes rusos y que operan principalmente en la zona horaria UTC-4, aunque esta es una evaluación y no una atribución confirmada.

Para los defensores, resulta crucial estar atentos a copias sospechosas de WMPDMC.exe en ProgramData, tareas programadas de Microsoft falsas, tráfico relacionado con Telegram, consultas DNS para dedyn[.]io a través de dns.google y un uso elevado inexplicable de CPU.

La campaña Yoba demuestra cómo los atacantes pueden utilizar plataformas de confianza y el creciente interés en herramientas de IA para distribuir malware de una forma que inicialmente parece creíble y inofensiva. Al empaquetar su código junto con nombres de software bien conocidos y hospedarlo en GitHub, los ciberdelincuentes reducen las posibilidades de que los usuarios o los controles de seguridad básicos marquen de inmediato los archivos como sospechosos. Por lo tanto, se recomienda a las organizaciones ser cautelosas al instalar "ayudantes de IA" o herramientas similares de repositorios no verificados y establecer políticas que restrinjan la ejecución de software de fuentes desconocidas, combinando la concienciación del usuario con controles técnicos básicos.

Sígueme en Twitter: @securityaffairs y en Facebook y Mastodon.

Pierluigi Paganini

(SecurityAffairs – hacking, malware Yoba)

◢ MALWARE ◣

Yoba Malware Hides a Crypto Miner Behind Legitimate OpenAI and Anthropic Binaries

⟫ 30/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

Check Point Research has spent two months tracking a campaign it calls Yoba, which uses the popularity of AI tools to spread a custom malware chain. The attackers build fake GitHub projects that pose as AI desktop applications such as GPT-5.6 Sol, GPT-6 Astra and Claude Opus. The projects look convincing and run on real GitHub infrastructure, which helps them seem legitimate to potential victims. “These projects look convincing and use real GitHub infrastructure, which helps them appear legitimate to potential victims. The website exhibits search-targeted content and suspicious installer-delivery tactics consistent with an SEO-poisoning lure. Inside the installers, there is a malicious component we refer to as theYobaDropper. This dropper includes another component, theYobaLoader, which is responsible for contacting attacker-controlled infrastructure and fetching the final payload.”reads the report. “In this report, we describe how victims are lured to these fake projects, how the YobaDropper and YobaLoader work together, and how the attackers ultimately use this chain to run unwanted software on infected systems.” The lure is simple. Each project has a repository, a GitHub.io page describing the software, and a ZIP release with the malware. The repositories show no fake stars or forks, yet they still rank among the top Google results, most likely through SEO poisoning that optimizes titles, descriptions and hosting domains. The first repository appeared around July 2026, but the first malicious releases landed only on August 30 and 31, and a third followed about five days later on September 4. Each repository uses a different Outlook address, and commit times point to UTC+4, UTC-4 and UTC+3, which Check Point reads as a deliberate attempt to hide the actor’s real time zone. Here’s the trick that gives the report its title. Each ZIP holds a legitimate signed executable from OpenAI or Anthropic, named Setup.exe, next to a malicious winmm.dll. The signed program loads the DLL on its own, a technique known as DLL sideloading, which is often used to bypass security protections. The ZIP files were not even password-protected. Attackers often use passwords to prevent security tools from automatically unpacking and scanning files. However, these binaries already had very low detection rates because they used anti-sandbox and other techniques to avoid analysis. The DLL’s compilation date is another clue: it was built on the same day it was added to the archive, unlike the legitimate files around it. The dropper, called YobaDropper, checks the environment before running. It calculates a hash of the name of the program that launched it and continues only if the name is Setup.exe. This means that sandboxes that run the DLL on its own will fail this check. When that happens, the process does not exit. Instead, it sleeps 200,000 times for 5.5 seconds each, a total of about 12.73 days. The malware also avoids victims in CIS countries by checking the keyboard layout. It excludes Russian, Belarusian, Tajik, Armenian, Azerbaijani, Georgian, Kazakh, Kyrgyz, Turkmen, Uzbek, and Tatar. Interestingly, Ukraine, which has often appeared in similar exclusion lists, is not included. Next, the malware requests administrator privileges. If the user does not have them, it displays the message “Please run this program as Administrator.” and exits. The victim must then restart it with administrator rights. Once it has the required privileges, the malware creates a folder called WMProcess under ProgramData. It copies the legitimate WMPDMC.exe file from System32 into this folder and places the second-stage payload there under the name wmpdui.dll. The malicious code achieves persistence by using a scheduled task dressed up as Microsoft. The author is set to Microsoft Corporation, the description says it collects device metadata for Windows Media Player, and it starts three minutes after boot as Local System. The task launches the legitimate program, which sideloads the malicious DLL. The second stage, YobaLoader, shares code with the dropper, which points to the same developer. It only runs under WMPDMC.exe and uses a different seed for its hashing than the dropper does, which separates the stages and weakens hash-based detection. Its job is to find its payload without a classic command server. It goes to a Telegram channel, t[.]me/yoba_fanclub, and downloads the channel’s profile picture. The last 50 bytes of the image seed a domain generator that builds names from word lists in the form adjective-noun-verb-number on dedyn[.]io. Change the picture and the operator gets a new domain. Then it asks Google’s DNS-over-HTTPS service for a TXT record on that domain. The reply is signed, and the loader checks the signature before decrypting it, which gives a link to a payload on Catbox. Check Point says this reliance on DoH and common hosting aims to bypass passive DNS monitoring and some gateway protections, and the campaign avoids dedicated command-and-control infrastructure, using Telegram, Tor, Catbox and DoH instead. The operator can choose how the payload runs. It can inject it into svchost.exe, save it as an executable after removing the Zone.Identifier mark, or run it as a hidden PowerShell script while bypassing execution policies. “Finally, the injected payload intosvchost.exeis an XMRig 6.26.0 miner with a hidden command line targeting a TLS-enabled onion mining endpoint through a local Tor SOCKS5 proxy. It can unpack and start Tor 0.4.9.12 plus lyrebird 0.8.1, monitor user-input activity to pause mining, and conditionally load the WinRing0 driver service for MSR-based mining optimization.” continnues the report. The miner uses Tor to connect to an encrypted mining server. It can start its own Tor components, use about 85% of CPU threads, and pause mining when the user is active. It resumes after 240 seconds of inactivity and can load the WinRing0 driver to optimize mining performance. However, YobaLoader is not limited to cryptocurrency mining. Its DNS tasking system allows operators to deliver any PE executable or PowerShell payload, meaning future attacks could distribute other malware families. Earlier versions appeared in June 2026. They used Cursor.exe for sideloading, a startup shortcut for persistence, and excluded only Russia. They also used .aber[.]ir instead of dedyn[.]io and included anti-debugging and anti-VM checks that later versions dropped. Check Point believes the attackers may have Russian origins and mainly operate in the UTC-4 time zone, but this is an assessment, not a confirmed attribution. Defenders should look for suspicious WMPDMC.exe copies under ProgramData, fake Microsoft scheduled tasks, Telegram-related traffic, DNS lookups for dedyn[.]io through dns.google, and unexplained high CPU usage. “The Yoba campaign shows how attackers can use trusted platforms and the current interest in AI tools to distribute malware in a way that looks believable and harmless at first glance. By packaging their code together with well-known software names and hosting it on GitHub, they lower the chances that users or basic security checks will immediately flag the files as suspicious.” concludes the report. “Organizations should be cautious about installing “AI helpers” or similar tools from unverified repositories and should enforce policies that restrict running software from unknown sources. Combining user awareness with basic technical controls.” Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking, Yoba malware)

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD