La campagne Yoba diffuse des mineurs de cryptomonnaie via de faux logiciels Claude et ChatGPT hébergés sur GitHub.

La campagne Yoba montre à quel point l’engouement pour l’intelligence artificielle attire les cybercriminels. En effet, des attaquants se font passer pour des applications de bureau d’Anthropic Claude et d’OpenAI ChatGPT. Leur but est de diffuser des chargeurs malveillants et des mineurs de cryptomonnaie. Pour y parvenir, ils créent donc de faux projets sur GitHub.

La campagne Yoba : de faux logiciels d’IA sur GitHub

Le mode opératoire est simple en apparence. Les opérateurs publient d’abord des dépôts GitHub qui prétendent proposer des applications de bureau dédiées à l’IA. Ces projets reprennent ensuite des noms censés attirer l’œil, comme GPT-5.6 Sol, GPT-6 Astra ou Claude Opus.

Ces appellations jouent sur la curiosité des utilisateurs. En effet, beaucoup de personnes cherchent à tester rapidement les derniers modèles. C’est surtout vrai lorsqu’une application native semble plus pratique qu’un navigateur. Par conséquent, un dépôt à l’allure sérieuse peut suffire à convaincre une victime de télécharger un fichier.

Il faut toutefois rester prudent sur un point. Les éléments disponibles à ce stade ne précisent pas le nom de la famille de malwares finalement déployée. Nous ne pouvons donc pas détailler ses fonctions exactes. En revanche, la nature de la campagne est claire. Un chargeur sert de porte d’entrée, puis des mineurs de cryptomonnaie s’installent sur la machine.

Des exécutables signés pour inspirer confiance

Le titre de la recherche à l’origine de cette alerte évoque l’abus d’exécutables signés. Cet élément est important. En effet, une signature numérique indique, en principe, qu’un fichier provient d’un éditeur identifié. Elle indique aussi qu’il n’a pas été modifié.

Or, les attaquants détournent cette logique. Un fichier signé inspire davantage confiance à l’utilisateur. De plus, il peut passer plus facilement les contrôles de certains outils de sécurité. Ces outils se montrent moins méfiants envers un binaire doté d’une signature.

Autrement dit, la présence d’une signature ne prouve pas qu’un logiciel est sûr. Elle prouve seulement qu’il a été signé. Les détails techniques du mécanisme employé dans la campagne Yoba ne sont pas précisés ici. Cependant, le principe général reste valable.

Par ailleurs, l’hébergement sur GitHub joue également un rôle. La plateforme bénéficie d’une excellente réputation auprès des développeurs et des utilisateurs avancés. Ainsi, un lien qui y mène suscite moins de soupçons qu’un site inconnu.

Quels risques après l’infection ?

Un chargeur malveillant a un rôle précis. Il s’installe d’abord sur le poste, puis il récupère et exécute d’autres charges utiles. Par conséquent, l’attaquant garde la main sur la suite des opérations.

Dans cette campagne, la charge visible est un mineur de cryptomonnaie. Ce type de logiciel exploite la puissance de calcul de la machine. Il génère ainsi de la monnaie numérique au profit de l’attaquant. La victime, elle, en supporte les conséquences.

• Ralentissements : le processeur ou la carte graphique tournent à plein régime.
• Surchauffe et usure : le matériel vieillit plus vite.
• Facture d’électricité : la consommation augmente, notamment sur les postes puissants.
• Risque d’intrusion : un chargeur peut ouvrir la voie à d’autres logiciels malveillants.

Les développeurs et les passionnés d’IA sont des cibles de choix. En effet, leurs machines disposent souvent de cartes graphiques performantes. Elles intéressent donc particulièrement les opérateurs de minage illégal.

Recommandations contre la campagne Yoba

Se protéger demande surtout de la méthode. Ainsi, quelques réflexes simples réduisent fortement le risque.

1. Passez par les sources officielles. Téléchargez les applications d’OpenAI et d’Anthropic uniquement depuis leurs sites ou boutiques officiels.
2. Méfiez-vous des noms trop beaux. Par exemple, des versions comme GPT-5.6 Sol ou GPT-6 Astra doivent éveiller le doute si aucune annonce officielle ne les confirme.
3. Vérifiez le dépôt GitHub. Examinez l’auteur, l’ancienneté du compte, l’historique des commits et le nombre de contributeurs.
4. Ne vous fiez pas à la seule signature. Contrôlez l’éditeur indiqué et comparez-le à celui du produit réel.
5. Surveillez la machine. Une charge CPU ou GPU anormale à l’arrêt est donc un signal d’alerte.
6. Gardez une protection à jour. Enfin, un antivirus ou une solution EDR bien configuré reste utile.

Les équipes de sécurité peuvent également agir en amont. Par exemple, elles peuvent limiter l’installation de logiciels non validés sur les postes professionnels. Elles peuvent aussi sensibiliser les développeurs aux faux projets open source.

Ce qu’il faut retenir

La campagne Yoba exploite l’attrait des outils d’IA pour distribuer des chargeurs et des mineurs de cryptomonnaie. Les attaquants s’appuient sur de faux projets GitHub qui imitent des applications Claude et ChatGPT. En outre, ils utilisent des exécutables signés pour paraître légitimes. Ainsi, la meilleure défense reste la vérification de la source avant tout téléchargement.

Source : Fake ChatGPT and Claude Apps Abuse Signed Executables to Deploy Crypto Miners