Кампания Yoba распространяет ВПО через поддельные репозитории GitHub

В кампании Yoba исследователи зафиксировали XMRig 6.26.0 в качестве полезной нагрузки. YobaLoader также поддерживает другие полезные нагрузки в формате PE и PowerShell, что может обеспечить доставку дополнительного ВПО.

Поддельные приложения и запуск YobaDropper

Yoba распространяет ВПО через поддельные репозитории GitHub и сайты GitHub Pages, которые имитируют настольные приложения, связанные с ChatGPT и Claude. На этих сайтах размещены ссылки на ZIP-архивы из релизов GitHub. В архивы включены легитимные цифрово подписанные исполняемые файлы OpenAI или Anthropic и вредоносный файл winmm.dll. Когда исполняемый файл загружает DLL, запускается YobaDropper, использующий механизм боковой загрузки DLL.

В более раннем варианте, выявленном в июне 2026 года, выполнение происходило под именем Cursor.exe. YobaDropper проверяет имя хост-процесса, сравнивая хеш базового имени исполняемого файла с хешем имени Setup.exe. Если проверка не проходит, вредоносная программа может задерживать выполнение с помощью многократных длительных пауз. Она также исключает определённые региональные раскладки клавиатуры, проверяет наличие прав администратора и создаёт каталог WMProcess в ProgramData.

В созданный каталог YobaDropper копирует легитимный системный файл Windows WMPDMC.exe и расшифровывает встроенную полезную нагрузку в файл wmpdui.dll. Затем он создаёт запланированную задачу от имени Local System с задержкой в три минуты. Задача запускает WMPDMC.exe, который подгружает DLL с YobaLoader.

Управление полезной нагрузкой и другие варианты

YobaLoader извлекает изображение профиля канала в Telegram и использует его последние 50 байтов как входные данные для алгоритма генерации доменных имён. Затем загрузчик запрашивает TXT-запись для сгенерированного домена через сервис Google DNS-over-HTTPS. Полученные инструкции проверяются с помощью подписи Ed25519 и расшифровываются с помощью AES. После этого загрузчик скачивает зашифрованную полезную нагрузку с сервиса, например Catbox.

Управление задачами поддерживает три действия:

• внедрение PE-файла в svchost.exe;
• запуск PE-файла из временного каталога после удаления потока Zone.Identifier;
• запуск скрипта PowerShell со скрытым окном и обходом политики выполнения.

Зафиксированный исследователями XMRig 6.26.0 использовал Tor SOCKS5-прокси для подключения к майнинговому конечному узлу с поддержкой TLS. Он отслеживал активность пользователя, чтобы приостанавливать майнинг, и мог загружать драйвер WinRing0.

В более ранних вариантах закрепление обеспечивалось через папку «Автозагрузка», также в них были проверки на отладку и виртуальные машины. Инфраструктурный механизм на базе Telegram оставался неизменным.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.