كشفت شركة الأمن السيبراني Check Point Research، عن حملة إلكترونية خبيثة تحمل اسم Yoba، تستهدف مستخدمي أدوات الذكاء الاصطناعي، من خلال تطبيقات مزيفة تحمل أسماء ChatGPT وClaude، لكنها تخفي بداخلها برمجيات ضارة قادرة على التسلل إلى أجهزة الكمبيوتر وتشغيل عمليات تعدين العملات المشفرة دون علم أصحابها.

وتعتمد الحملة على نشر تطبيقات تبدو وكأنها إصدارات رسمية لبرامج الذكاء الاصطناعي عبر منصة GitHub، تحت أسماء مثل GPT-5.6 Sol وGPT-6 Astra وClaude Opus، بهدف إقناع المستخدمين بتحميلها وتثبيتها على أجهزتهم.

وبحسب الباحثين، فإن هذه التطبيقات لا تقدم الخدمات التي تعد بها، بل تحتوي على ملفات خبيثة تستخدم لتحميل برمجيات إضافية والسيطرة على بعض موارد الجهاز.

تطبيقات مزيفة تستغل أسماء OpenAI وأنثروبيك

ولزيادة ثقة المستخدمين، أنشأ المهاجمون صفحات إلكترونية ومستودعات على GitHub، تتضمن معلومات وشروحات عن التطبيقات المزيفة، كما استخدموا أساليب لتحسين ظهور هذه الصفحات في نتائج بحث جوجل، بما يزيد احتمالات وصول المستخدمين إليها.

وتكمن خطورة هذه الطريقة في أن التطبيقات تحتوي على ملفات تنفيذية أصلية وموقعة رقميا تابعة لشركات OpenAI وأنثروبيك، إلى جانب ملفات خبيثة تستغل هذه البرامج في تشغيل تعليمات ضارة دون إثارة الشكوك بسهولة.

ويستخدم المهاجمون في ذلك تقنية تعرف باسم DLL Sideloading، وتعتمد على استغلال آلية تحميل ملفات المكتبات الديناميكية في نظام ويندوز، بحيث يقوم برنامج شرعي بتحميل ملف خبيث موجود بجواره.

أوضح تقرير Check Point أن الملفات التي يجري توزيعها عبر المستودعات المزيفة تحتوي على مكونين أساسيين، الأول ملف تنفيذي شرعي باسم Setup.exe، والثاني ملف خبيث باسم winmm.dll.

ويعمل الملف الخبيث باعتباره أداة أولية لتحميل البرمجيات الضارة، أطلق عليها الباحثون اسم YobaDropper، حيث يتحقق من الملف الذي يقوم بتشغيله قبل بدء نشاطه، كما يستخدم مجموعة من الأساليب لتجنب اكتشافه بواسطة برامج الحماية وبيئات التحليل الأمني.

ومن بين هذه الأساليب تأخير تنفيذ التعليمات لفترات طويلة، وفحص إعدادات لوحة المفاتيح في الجهاز، وتجنب تشغيل البرمجية على الأجهزة التي تستخدم لغات مرتبطة بعدد من الدول، من بينها روسيا وبيلاروسيا وكازاخستان وأرمينيا وأوزبكستان.

وبعد نجاحها في تجاوز هذه الفحوصات، تبدأ البرمجية في تحميل مكونات إضافية وإنشاء آلية تتيح لها إعادة تشغيل نفسها تلقائيا عند الحاجة.

لا تعتمد الحملة على وسيلة واحدة لتنفيذ الهجوم، إذ تستخدم البرمجية التالية، التي تحمل اسم YobaLoader، قناة على تطبيق تيليجرام للحصول على صورة، ثم تستخرج منها بيانات تستخدمها في إنشاء أسماء نطاقات إلكترونية بصورة آلية.

وتستعين البرمجية بعد ذلك بخدمة DNS عبر HTTPS التابعة لشركة جوجل للحصول على تعليمات مشفرة، تتضمن رابطا لتنزيل المرحلة التالية من البرمجية الخبيثة.

وبحسب Check Point، يساعد استخدام خدمات الإنترنت الشائعة والمشفرة على إخفاء الاتصالات الضارة وسط حركة البيانات الطبيعية، ما يزيد صعوبة اكتشاف نشاط المهاجمين بواسطة بعض أنظمة المراقبة الأمنية.

استغلال أجهزة الضحايا في تعدين العملات المشفرة

في المرحلة الأخيرة من الهجوم، تقوم البرمجية الخبيثة بتحميل ملف إضافي إلى الجهاز المصاب، ثم تشغيله داخل إحدى عمليات نظام ويندوز المعروفة باسم svchost.exe.

وتؤدي هذه العملية إلى تشغيل أداة XMRig، وهي برنامج يستخدم في تعدين العملات المشفرة، ما يسمح للمهاجمين باستغلال موارد أجهزة الضحايا في عمليات التعدين دون علمهم.

وقد يترتب على ذلك ارتفاع استهلاك المعالج، وتراجع أداء الكمبيوتر، وزيادة استهلاك الطاقة، نتيجة تشغيل عمليات التعدين في الخلفية.

ووفقا للتحقيقات، يعود إنشاء أول مستودع مرتبط بالحملة إلى يوليو 2026، بينما ظهرت الإصدارات الخبيثة في نهاية أغسطس من العام نفسه.

كما رصد الباحثون تطورا في أساليب البرمجيات المستخدمة، إذ تضمنت الإصدارات الأولى وسائل مختلفة لتجنب التحليل الأمني، قبل أن تتغير بعض هذه الأساليب في الإصدارات الأحدث.

وحذرت Check Point من أن المهاجمين يستغلون الثقة في العلامات التجارية التقنية المعروفة، إلى جانب الاهتمام المتزايد بأدوات الذكاء الاصطناعي، لنشر تطبيقات خبيثة تبدو في ظاهرها برامج شرعية.

ولحماية أجهزتك، ينصح بتحميل تطبيقات ChatGPT وClaude من المواقع الرسمية للشركات المطورة فقط، وتجنب تثبيت أي إصدارات غير موثوقة تظهر عبر نتائج البحث أو مستودعات GitHub مجهولة المصدر، حتى لو حملت أسماء إصدارات حديثة أو بدت وكأنها تطبيقات أصلية.