كشفت شركة الأمن السيبراني "Check Point Research" عن حملة إلكترونية خبيثة تحمل اسم "Yoba"، تستهدف مستخدمي أدوات الذكاء الاصطناعي عبر تطبيقات مزيفة تحمل أسماء "ChatGPT" و"Claude".
تطبيقات مزيفة على منصة GitHub
تعتمد الحملة على نشر تطبيقات تبدو وكأنها إصدارات رسمية لبرامج الذكاء الاصطناعي عبر منصة "GitHub"، تحت أسماء مثل "GPT-5.6 Sol" و"GPT-6 Astra" و"Claude Opus"، بهدف إقناع المستخدمين بتحميلها وتثبيتها. وبحسب الباحثين، فإن هذه التطبيقات لا تقدم الخدمات الموعودة، بل تحتوي على ملفات خبيثة تستخدم لتحميل برمجيات إضافية والسيطرة على موارد الجهاز.
استغلال ثقة المستخدمين وتقنية DLL Sideloading
لزيادة ثقة الضحايا، أنشأ المهاجمون صفحات إلكترونية ومستودعات على "GitHub" تتضمن شروحات عن التطبيقات المزيفة، واستخدموا أساليب لتحسين ظهورها في نتائج بحث "جوجل". وتكمن الخطورة في احتواء التطبيقات على ملفات تنفيذية أصلية وموقعة رقميًا تابعة لشركتي "OpenAI" و"Anthropic"، إلى جانب ملفات خبيثة تستغل هذه البرامج في تشغيل تعليمات ضارة.
يستخدم المهاجمون تقنية تعرف باسم "DLL Sideloading"، وتعتمد على استغلال آلية تحميل ملفات المكتبات الديناميكية في نظام "ويندوز"، بحيث يقوم برنامج شرعي بتحميل ملف خبيث موجود بجواره.
مراحل الهجوم: من التحميل إلى التعدين
أوضح التقرير أن الملفات الموزعة تحتوي على مكونين أساسيين: ملف تنفيذي شرعي باسم "Setup.exe"، وملف خبيث باسم "winmm.dll" يعمل كأداة أولية لتحميل البرمجيات الضارة أطلق عليها اسم "YobaDropper". يتحقق هذا الملف من بيئة التشغيل ويستخدم أساليب لتجنب الاكتشاف، منها تأخير التنفيذ وفحص إعدادات لوحة المفاتيح وتجنب الأجهزة التي تستخدم لغات مرتبطة بعدد من الدول مثل روسيا وبيلاروسيا وكازاخستان وأرمينيا وأوزبكستان.
في المرحلة التالية، تستخدم برمجية "YobaLoader" قناة على تطبيق "تيليجرام" للحصول على صورة تستخرج منها بيانات لإنشاء نطاقات إلكترونية آلية، ثم تستعين بخدمة "DNS عبر HTTPS" التابعة لـ "جوجل" لجلب تعليمات مشفرة تتضمن رابط تنزيل المرحلة النهائية.
تشغيل أداة تعدين XMRig
في المرحلة الأخيرة، يتم تحميل ملف إضافي وتشغيله داخل عملية نظام "ويندوز" المعروفة باسم "svchost.exe"، مما يؤدي إلى تشغيل أداة "XMRig" المستخدمة في تعدين العملات المشفرة، مستغلةً موارد أجهزة الضحايا دون علمهم، ما يترتب عليه ارتفاع استهلاك المعالج وتراجع الأداء وزيادة استهلاك الطاقة.
بداية الحملة ونصائح للحماية
وفقًا للتحقيقات، يعود إنشاء أول مستودع مرتبط بالحملة إلى يوليو 2026، بينما ظهرت الإصدارات الخبيثة في نهاية أغسطس من العام نفسه، مع رصد تطور في أساليب التهرب من التحليل الأمني. وحذرت "Check Point" من استغلال المهاجمين للثقة في العلامات التجارية المعروفة والاهتمام المتزايد بأدوات الذكاء الاصطناعي.
للحماية، ينصح بتحميل تطبيقات "ChatGPT" و"Claude" من المواقع الرسمية للشركات المطورة فقط، وتجنب تثبيت أي إصدارات غير موثوقة تظهر عبر نتائج البحث أو مستودعات "GitHub" مجهولة المصدر.
