Du suchst eine Desktop-App für ChatGPT oder Claude, landest auf einer hübschen GitHub-Seite und lädst ein ZIP herunter. Genau auf diese Falle zielt die Kampagne „Yoba“, die Check Point Research beschreibt. The Hacker News berichtete am 29. Oktober.
Am Ende läuft auf deinem Rechner ein XMRig-Krypto-Miner, der deine CPU für fremdes Geld rechnen lässt. Das Perfide: Die Angreifer nutzen echte, signierte Programme als Türöffner.
DER KÖDER
Die Täter legten gefälschte GitHub-Projekte an, die als Desktop-Apps für ChatGPT und Claude auftreten. Die Namen klingen nach den neuesten Modellen, zum Beispiel „GPT-5.6 Sol“, „GPT-6 Astra“ und „Claude Opus“. Dazu bauten sie GitHub.io-Seiten, die die angebliche Software beschreiben und glaubwürdig wirken sollen.
In den Repositories liegt ein ZIP-Archiv mit zwei Dateien: einer echten, signierten ausführbaren Datei von OpenAI Codex oder Claude, umbenannt in Setup.exe, und einer bösartigen winmm.dll. Check Point vermutet, dass die Seiten über SEO-Poisoning in Google-Treffern nach oben rutschen. Die Beliebtheit der Repos sei laut Bericht nicht künstlich aufgeblasen worden.
WAS IST DLL-SIDELOADING?
Windows-Programme laden Bibliotheken (DLLs) oft aus ihrem eigenen Ordner. Legt ein Angreifer eine manipulierte DLL neben eine vertrauenswürdige, signierte Datei, lädt diese die Schad-DLL von selbst. Sicherheitsprogramme, die signierter Software vertrauen, schlagen dann womöglich nicht an. Du siehst nur ein bekanntes Programm, das scheinbar normal startet.
DIE ZWEI STUFEN
Stufe 1: YobaDropper. Das Programm läuft nur, wenn es als Setup.exe gestartet wird. Alleine, etwa in einer Analyse-Umgebung, beendet es sich. Es wartet außerdem mit einer langen Schleife von 200.000 Mal Sleep(5500), zusammen rund 12,7 Tage. Auf Systemen mit Tastaturlayouts aus Russland, Belarus, Zentralasien, Armenien, Aserbaidschan und Georgien bricht es ab. Die Ukraine fehlt in der Liste, anders als in früheren Kampagnen. Danach kopiert es wmpdmc.exe aus System32 in einen neuen Ordner „WMProcess“ unter ProgramData, entschlüsselt dort die nächste Nutzlast und legt eine geplante Aufgabe für den Neustart an.
Stufe 2: YobaLoader. Er läuft nur unter wmpdmc.exe und lädt ein Bild aus einem Telegram-Kanal. Dessen letzte 50 Bytes dienen als Startwert für einen Domain-Generator. Daraus entstehen Adressen aus Adjektiv, Substantiv, Verb und einer Zahl unter dedyn.io. Über Googles DNS-over-HTTPS-API fragt der Loader einen TXT-Eintrag ab. Darin steckt ein Base64-Befehl mit dem Link zur nächsten Nutzlast, gehostet auf catbox.moe. Diese wird in svchost.exe eingeschleust und startet XMRig. DoH und gängige Hoster sollen die Erkennung per DNS-Überwachung erschweren.
WANN LIEF DAS?
- Das erste GitHub-Repository tauchte etwa im Juli 2026 auf.
- Schädliche Releases folgten Ende August.
- Frühe Versionen schlossen nur Russland aus und enthielten viele Anti-Debugging- und Anti-VM-Prüfungen. Neuere ließen diese weg.
- Opferzahlen oder Download-Zahlen nennt der Bericht nicht.
SO ERKENNST DU DEN FAKE
Der Bericht enthält keinen eigenen Schutz-Abschnitt. Aus den beschriebenen Methoden ergeben sich diese sinnvollen Schritte (unsere Einschätzung, nicht Teil der Quelle):
- Nur offizielle Quellen: Lade KI-Apps ausschließlich von den Seiten der Anbieter, nicht aus GitHub-Treffern oder Suchanzeigen.
- Misstrauisch bei Namen: Modelle wie „GPT-6 Astra“ als Gratis-Download sind ein Warnsignal.
- ZIP mit Setup.exe und DLL: Eine „Installationsdatei“, die neben einer fremden winmm.dll liegt, gehört nicht auf deinen Rechner.
- Auffälligkeiten: Ein Ordner „WMProcess“ unter ProgramData, neue geplante Aufgaben, eine kopierte
wmpdmc.exe, hohe CPU-Last durchsvchost.exe. - Netzwerk: Verdächtig sind DoH-Anfragen von Programmen außerhalb des Browsers und Lookups unter
dedyn.io.
Die Check-Point-Indikatoren nennen unter anderem die Domain files.catbox.moe, den Telegram-Kanal yoba_fanclub und GitHub-Konten mit Namen wie „gpt-5-6“, „gpt-6-astra“ und „opus-5-0“.
FAZIT: Der Hype ist die Falle
Neue KI-Modelle erzeugen Suchdruck, und genau den nutzen die Täter. Ein Miner richtet weniger Schaden an als Ransomware, bringt aber Strom, Lärm und ein fremdes Programm auf deinen Rechner. Wenn du eine solche ZIP-Datei schon geöffnet hast, prüfe die genannten Spuren und lösche die geplante Aufgabe.