Кампания Yoba распространяет вредоносное ПО под видом десктопных приложений
Кампания Yoba распространяет вредоносное ПО через репозитории GitHub и GitHub Pages, маскируя его под настольные приложения ChatGPT и Claude. Оптимизированные для поисковых систем страницы ведут на ZIP-архивы с легитимными подписанными исполняемыми файлами OpenAI или Anthropic и вредоносной DLL. Когда пользователь запускает исполняемый файл, загружается вредоносная библиотека.
Загрузка DLL и закрепление в системе
В кампании применяют YobaDropper, который сохраняется под именем winmm.dll и содержит встроенный YobaLoader. При развёртывании загрузчик получает имя wmpdui.dll. YobaDropper проверяет имя хост-процесса: хеширует имя исполняемого файла алгоритмом DJB2 и сопоставляет результат с ожидаемым значением для Setup.exe. Он также проверяет раскладку клавиатуры, чтобы избежать заражения пользователей в отдельных странах СНГ.
YobaDropper динамически разрешает функции Windows API по хешированным именам и требует прав администратора. Для закрепления он создаёт запланированную задачу от имени Local System. Задача запускается через три минуты после загрузки системы и использует легитимный исполняемый файл для загрузки DLL следующего этапа.
В более ранних версиях Yoba вместо запланированной задачи использовался ярлык в папке автозагрузки. В них также присутствовали дополнительные проверки на отладку и виртуальные машины.
Получение команд и выполнение полезной нагрузки
YobaLoader проверяет имя ожидаемого хост-процесса, WMPDMC.exe, также используя хеш имени процесса. Выделенную инфраструктуру управления загрузчик не применяет: он получает страницу канала в Telegram и извлекает URL изображения профиля. По этим данным генерируется доменное имя, затем загрузчик обращается к API Google DNS-over-HTTPS и получает зашифрованную TXT-запись с задачами и полезной нагрузкой.
Полученный ответ загрузчик расшифровывает. Затем он может внедрить полезную нагрузку в svchost.exe, сохранить и запустить исполняемый файл после удаления метаданных Zone.Identifier либо выполнить сценарий PowerShell, скрытый с помощью обхода политики выполнения.
Майнер и другие возможные полезные нагрузки
Среди обнаруженных конечных полезных нагрузок есть XMRig 6.26.0, настроенный на майнинг через локальный SOCKS5-прокси Tor. Майнер может запускать Tor и его мост lyrebird, приостанавливать работу при активности пользователя, а также загружать драйвер WinRing0 для оптимизации майнинга.
YobaLoader способен доставлять и другие полезные нагрузки в формате PE или PowerShell.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
