Des cybercriminels se servent de la popularité de ChatGPT et de Claude pour diffuser un logiciel malveillant auprès d’utilisateurs de Windows. D’après Check Point Research, une campagne baptisée Yoba exploite depuis environ deux mois de fausses pages de téléchargement et des dépôts GitHub qui imitent l’univers des assistants d’intelligence artificielle. Les chercheurs cités par Notebookcheck indiquent que ces pages pouvaient apparaître parmi les premiers résultats de Google.
Des pages conçues pour ressembler aux services officiels
Les sites observés reprennent des noms de versions présentées comme nouvelles, notamment « GPT-5,6 Sol », « GPT-6 Astra » ou « Claude Opus ». Selon Check Point Research, les attaquants ont créé de petites pages d’atterrissage et des dépôts GitHub afin de donner une apparence légitime aux téléchargements. Leur visibilité dans les résultats du moteur de recherche serait liée à un empoisonnement du référencement, une technique qui consiste à manipuler le classement d’une page pour la faire remonter sur des requêtes recherchées.
Les fichiers proposés prennent la forme d’archives ZIP. Elles contiennent un véritable fichier Setup.exe signé numériquement par OpenAI ou Anthropic, ainsi qu’une bibliothèque malveillante nommée winmm.dll. Une signature numérique permet notamment à Windows d’identifier l’éditeur déclaré d’un fichier, mais elle ne garantit pas que les autres éléments placés dans la même archive soient sûrs. Dans ce cas, la signature concerne l’installateur et non la bibliothèque ajoutée à ses côtés.
Une bibliothèque parasite chargée par l’installateur
Le mécanisme décrit par les chercheurs repose sur le DLL sideloading. Cette technique consiste à amener un programme légitime à charger, depuis son environnement de lancement, une bibliothèque portant le nom attendu mais contenant du code malveillant. Lorsque l’installateur signé est exécuté, il charge ainsi le fichier associé. Le programme demande ensuite des privilèges administrateur, ce qui peut lui permettre d’étendre son implantation sur la machine.
L’analyse de Gridinsoft rapporte que le logiciel s’installe dans le dossier ProgramData\WMProcess et crée une tâche planifiée qui se fait passer pour un composant de Windows Media Player. Cette tâche relance le programme après chaque redémarrage avec des droits système. Les communications reçues par le logiciel passent par un canal Telegram et par des requêtes DNS chiffrées via Google, ce qui lui permet de fonctionner sans disposer de serveurs qui lui seraient directement associés.
Un mineur de cryptomonnaie, mais pas seulement
La charge finale observée par Check Point Research est XMRig, un logiciel de minage de cryptomonnaie. Dans la campagne étudiée, il utilise le réseau Tor et suspend son activité lorsque l’utilisateur se sert activement de l’ordinateur. Ce comportement peut réduire les signes visibles de ralentissement pendant l’utilisation courante de la machine.
Les chercheurs soulignent toutefois que le chargeur employé ne se limite pas à ce scénario. Selon leur analyse, il pourrait aussi servir à installer des voleurs de mots de passe ou des chevaux de Troie d’accès à distance, c’est-à-dire des programmes permettant à un opérateur de contrôler ou d’exploiter une machine compromise. L’échantillon étudié ignore par ailleurs les ordinateurs dont la disposition de clavier est russe ou correspond à plusieurs pays de la Communauté des États indépendants, à l’exception de l’Ukraine.
- Campagne suivie : Yoba, observée depuis environ deux mois par Check Point Research.
- Vecteur : fausses pages de téléchargement et dépôts GitHub promus dans les résultats de Google.
- Fichiers associés : un installateur signé par OpenAI ou Anthropic et une bibliothèque malveillante winmm.dll.
- Charge observée : le mineur XMRig, avec la possibilité évoquée d’autres logiciels malveillants.
| Élément | Rôle décrit par les chercheurs |
|---|---|
| Setup.exe | Installateur authentiquement signé par OpenAI ou Anthropic |
| winmm.dll | Bibliothèque malveillante chargée par l’installateur |
| XMRig | Mineur de cryptomonnaie observé comme charge finale |
Cette campagne illustre les limites d’un indicateur de confiance isolé : la signature numérique d’un exécutable peut être authentique alors que l’archive distribuée contient également un composant dangereux. Le risque décrit par Check Point Research tient donc autant à l’imitation des marques ChatGPT et Claude qu’à l’utilisation de fichiers légitimes pour rendre l’ensemble plus crédible aux yeux de Windows et des internautes.
