Uma nova campanha de malware, batizada de Yoba, está explorando a crescente demanda por ferramentas de inteligência artificial para disseminar códigos maliciosos. A operação, detalhada pela Check Point Research, combina táticas sofisticadas de manipulação de resultados de busca no Google com a criação de projetos fraudulentos no GitHub, visando usuários que procuram por versões instaláveis de aplicações de IA. Os criminosos simulam ferramentas como GPT-5.6 Sol, GPT-6 Astra e Claude Opus, nomes que atraem atenção imediata de quem busca acesso a essas tecnologias.
A investigação da Check Point Research não encontrou evidências de comprometimento direto dos sistemas de empresas como OpenAI ou Anthropic. Em vez disso, a campanha explora a confiança que os usuários depositam nessas marcas para distribuir arquivos que, à primeira vista, parecem legítimos, mas contêm componentes maliciosos ocultos. A estratégia central reside na técnica conhecida como DLL Sideloading, onde um programa executável legítimo, muitas vezes assinado digitalmente pelos próprios desenvolvedores de IA, é induzido a carregar uma biblioteca dinâmica maliciosa (neste caso, winmm.dll) em vez de seus componentes esperados.
Mecanismos de Infecção e Persistência
O primeiro estágio da infecção é o YobaDropper, um componente projetado para verificar o ambiente antes de prosseguir. Ele inclui verificações de idioma do sistema, pausas estratégicas para dificultar a análise por ferramentas de segurança e a exigência de privilégios de administrador. Uma vez que essas condições são satisfeitas, o malware estabelece mecanismos de persistência, configurando tarefas agendadas no Windows para garantir que a infecção permaneça ativa mesmo após reinicializações.
O componente YobaLoader, responsável pela comunicação com os servidores de comando e controle (C2), emprega métodos engenhosos para mascarar sua infraestrutura. Ele consulta um canal no Telegram e utiliza a imagem de perfil da conta como fonte de dados para gerar dinamicamente um domínio de destino. Para a comunicação, o malware recorre ao DNS sobre HTTPS (DoH) via serviço do Google, um método que dificulta o rastreamento e a identificação de tráfego malicioso. Essa abordagem permite que os operadores da campanha alterem facilmente a infraestrutura de C2 simplesmente modificando a imagem de perfil no Telegram, tornando a defesa um desafio contínuo.
Carga Maliciosa e Potencial Expansivo
A carga final identificada nas infecções analisadas foi o XMRig 6.26.0, um popular minerador de criptomoedas. O software foi configurado para operar de forma discreta, reduzindo ou interrompendo o processamento quando detecta atividade do usuário, uma tática para minimizar a chance de ser descoberto. No entanto, o YobaLoader é um carregador genérico, capaz de executar comandos em PowerShell e distribuir outras cargas maliciosas. Isso inclui a possibilidade de instalar ransomware, programas de roubo de credenciais (infostealers) ou outras ameaças, ampliando o leque de riscos associados à campanha.
Riscos Corporativos e Recomendações
A campanha Yoba evidencia os perigos do Shadow IT, a prática de funcionários utilizarem ferramentas não autorizadas. A busca por aplicações de IA, mesmo com boas intenções, pode levar ao download de softwares de fontes não confiáveis, abrindo portas para códigos maliciosos nas redes corporativas. Para mitigar esses riscos, as organizações devem orientar seus funcionários a baixar ferramentas de IA exclusivamente de canais oficiais, restringir privilégios de administrador e implementar controles para impedir a execução de programas não homologados. O monitoramento de comportamentos suspeitos, como o carregamento de bibliotecas não confiáveis por aplicativos legítimos, e o uso de soluções de segurança com análise comportamental e detecção de rede são cruciais para identificar ameaças que utilizam infraestruturas de C2 disfarçadas.
As táticas empregadas pelo malware Yoba — desde o envenenamento de SEO e a engenharia social até o uso de técnicas avançadas como DLL Sideloading e comunicação via serviços legítimos — demonstram a evolução constante das ameaças cibernéticas. A campanha serve como um lembrete da importância de uma postura de segurança proativa e da necessidade de educar continuamente os usuários sobre os riscos associados à adoção de novas tecnologias em ambientes corporativos e pessoais.
Com reportagem de Brazil Valley
Source · TIInside
