Apps falsas de ChatGPT y Claude propagan malware Yoba: guía

El problema central es que la firma de código demuestra quién creó un archivo, no que la carpeta que lo rodea sea segura. Yoba explota esa brecha con una técnica conocida como DLL sideloading: un programa legítimo y firmado carga una biblioteca llamada winmm.dll desde su propia carpeta, y el atacante entrega una copia maliciosa.

Varios factores dificultan detectar esta campaña con controles básicos:

• El archivo visible es genuino. Un Setup.exe de OpenAI o un ejecutable de Claude firmado supera los controles de reputación y de firma, así que muchas herramientas guardan silencio.
• El señuelo está en los resultados de búsqueda. Los repositorios falsos usaron nombres de productos populares y se posicionaron de forma destacada, sin evidencia de estrellas o forks inflados artificialmente, por lo que había pocas señales de alerta.
• El malware es paciente. Según Check Point, la primera etapa verifica que fue iniciada por el Setup.exe esperado y, de lo contrario, introduce una demora prolongada. También aplica comprobaciones de idioma regional y exige privilegios de administrador para continuar, un comportamiento pensado para frustrar sandboxes y analistas.
• El canal de comando es poco convencional. El loader lee la imagen de perfil de un canal de Telegram para generar un dominio, consulta un registro TXT mediante DNS sobre HTTPS de Google, descifra la respuesta y descarga una carga cifrada desde un alojamiento externo como Catbox.

En conjunto, estos trucos dejan poco a qué aferrarse a una lista de bloqueo basada en reputación. Los defensores necesitan visibilidad de comportamiento y un equipo de operaciones de seguridad gestionado que vigile el patrón y no un único hash.

La cadena de Yoba convierte una búsqueda de software cotidiana en un punto de apoyo persistente en cinco etapas.

1. Búsqueda y descarga. Un empleado busca una aplicación de IA de escritorio, llega a un proyecto falso de GitHub o a un sitio de GitHub Pages y descarga un ZIP desde la sección de releases.
2. Ejecución del archivo firmado. El usuario abre el Setup.exe o el ejecutable de Claude genuino y firmado. Nada parece extraño.
3. Sideloading. El programa carga el winmm.dll malicioso de la misma carpeta. Esta primera etapa, llamada YobaDropper, verifica que se inició correctamente y que tiene derechos de administrador.
4. Persistencia. YobaDropper instala una segunda etapa, YobaLoader, junto a un ejecutable legítimo de Windows y crea una tarea programada para que ese archivo legítimo cargue el loader tras cada arranque del sistema.
5. Obtención de la carga. YobaLoader encuentra su dominio de comando con el truco de la imagen de perfil de Telegram, valida una respuesta TXT de DNS y descarga una carga cifrada.

En la campaña que analizó Check Point, la carga final fue el criptominero XMRig, versión 6.26.0. Según el análisis, puede comunicarse con su infraestructura mediante Tor y pausa la minería mientras el usuario trabaja, lo que evita que el equipo se perciba lento. Check Point es claro en que YobaLoader es un loader genérico que puede entregar otros ejecutables de Windows o cargas de PowerShell, de modo que un minero hoy puede ser algo mucho peor mañana. Cualquier equipo que ejecutó uno de estos paquetes debe tratarse como un compromiso más amplio, no solo como CPU desperdiciada.

Cerrar este camino protege más que unos cuantos portátiles. Protege credenciales, rendimiento y la credibilidad de su programa de adopción de IA. Una defensa práctica, basada en las recomendaciones del análisis de Check Point, es la siguiente:

• Ofrezca una vía autorizada para las herramientas de IA. Publique una lista aprobada y una fuente de descarga, para que los empleados no tengan que buscar clientes de escritorio. Solo canales controlados por el fabricante, nunca resultados de búsqueda, páginas de GitHub ni enlaces de terceros.
• Restrinja aplicaciones no autorizadas y derechos de administrador. YobaDropper necesita privilegios de administrador, por lo que eliminar el administrador local permanente y aplicar control de aplicaciones detiene muchas infecciones desde el inicio.
• Monitoree lo que cargan los programas legítimos. Genere alertas cuando una aplicación firmada cargue un winmm.dll inesperado desde una carpeta escribible por el usuario, o cuando una nueva tarea programada ejecute un binario legítimo desde una ubicación extraña.
• Detecte más allá del primer archivo. La protección por comportamiento y el análisis de incidentes detectan el loader, la tarea programada y el tráfico saliente aunque el archivo inicial esté firmado.
• Bloquee canales de comando inusuales. Filtre dominios generados y monitoree el uso de DNS sobre HTTPS y Tor en el borde de la red, idealmente mediante una red segura multioperador con política centralizada.
• Capacite sobre el riesgo de los resultados de búsqueda. Enseñe que un buen posicionamiento en Google y una página de GitHub no son prueba de legitimidad.

El beneficio es menor volumen de incidentes, menos quejas inesperadas de rendimiento y un rastro de auditoría claro que demuestra que las herramientas de IA se adoptan de forma controlada. La criptominería puede sonar menor, pero el mismo acceso puede traer robo de credenciales o ransomware, así que detectarla temprano es un seguro barato.

HIT Communications ayuda a las empresas a adoptar nueva tecnología, incluida la IA, sin darles a los atacantes una entrada fácil. Con más de 30 años de experiencia en América Latina, Estados Unidos y Europa, combinamos la red, el equipo de usuario y el monitoreo en un solo servicio con un responsable único.

Nuestro equipo de ciberseguridad ofrece un centro de operaciones de seguridad 24/7, SIEM y detección y respuesta gestionadas, diseñados para identificar comportamientos como cargas inesperadas de DLL, nuevas tareas programadas y actividad DNS inusual. Nuestros servicios gestionados de TI cubren el endurecimiento de equipos, el control de aplicaciones, los parches y la orientación a usuarios, incluida la forma de desplegar herramientas de IA aprobadas de manera segura. Y como operamos la conectividad multioperador que está por debajo, podemos aplicar filtrado y visibilidad donde realmente circula su tráfico.

Si no está seguro de que una descarga de IA ya haya llegado a su flota, podemos ayudarle a buscar los indicadores y a definir controles que eviten una repetición.

La campaña Yoba demuestra que una firma válida no garantiza seguridad y que los atacantes ya montan su ataque sobre la ola de adopción de IA. Paquetes de escritorio falsos de GPT y Claude, páginas de GitHub con SEO envenenado y un loader capaz de entregar cualquier cosa hacen de este un riesgo que vale la pena atender hoy.

Comience con tres acciones: publique una fuente aprobada para herramientas de IA, elimine los derechos de administrador innecesarios y asegúrese de que alguien vigile las DLL cargadas por sideloading y las tareas programadas sospechosas. Si desea apoyo para evaluar su exposición o respaldar estos controles con un SOC gestionado, contacte al equipo de HIT Communications y le ayudaremos a adoptar IA sin sumar riesgo.