Campagne Yoba : DLL sideloading via de fausses apps ChatGPT et Claude pour miner du Monero

🗓️ Contexte

Source : Cryptika (relayant CyberSecurityNews.com), publié le 3 novembre 2026. L’analyse s’appuie sur un rapport de menace de PolySwarm du 2 novembre 2026, lui-même fondé sur une investigation de Check Point Research ayant suivi des dépôts GitHub frauduleux pendant environ deux mois (depuis juillet 2026).

🎯 Nature de l’attaque

La campagne distribue le malware Yoba via de faux installeurs se faisant passer pour des applications de bureau IA : GPT-5.6 Sol, GPT-6 Astra et Claude Opus. Les archives ZIP sont hébergées sur GitHub Releases et promus via des dépôts GitHub et des sites GitHub Pages. Un empoisonnement SEO est suspecté pour assurer leur visibilité dans les résultats Google.

⚙️ Chaîne d’infection

1. DLL Sideloading (étape 1) : Un installeur légitime signé (Setup.exe) charge winmm.dll (YobaDropper), une bibliothèque malveillante exposant 180 fonctions pour imiter un composant multimédia Windows.
2. Vérifications anti-analyse : YobaDropper vérifie le nom de l’exécutable hôte, effectue 200 000 cycles de sommeil de 5,5 secondes en cas de mismatch, et filtre les dispositions clavier (russe, biélorusse, arménien, azerbaïdjanais, kazakh — avec exemption explicite de l’ukrainien). Des privilèges administrateur sont requis.
3. DLL Sideloading (étape 2) : Le dropper copie WMPDMC.exe (exécutable Windows légitime) dans un répertoire ProgramData\WMProcess et déchiffre wmpdui.dll (YobaLoader). Une tâche planifiée avec des métadonnées Microsoft-thémées lance l’exécutable après 3 minutes.
4. C2 via Telegram et DGA : YobaLoader récupère l’image de profil d’un canal Telegram et utilise ses 50 derniers octets comme graine d’un algorithme de génération de domaines (DGA). Les instructions sont validées par signatures Ed25519 et déchiffrées en AES-ECB.
5. Payload final : XMRig 6.26.0 est injecté dans svchost.exe, le trafic de minage transite via un proxy Tor SOCKS5 local. Le minage se suspend pendant l’utilisation active de l’ordinateur.

📦 Capacités supplémentaires

• Exécution de payloads PowerShell cachés
• Support d’exécutables arbitraires
• Vol d’informations et ransomware non documentés mais techniquement possibles

🔍 Type d’article

Analyse technique détaillée d’une campagne de malware active, visant à documenter la chaîne d’infection, les techniques d’évasion et les indicateurs de compromission pour les équipes SOC et CTI.

🧠 TTPs et IOCs détectés

TTP

• T1574.002 — Hijack Execution Flow: DLL Side-Loading (Defense Evasion)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1583.001 — Acquire Infrastructure: Domains (Resource Development)
• T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
• T1568.002 — Dynamic Resolution: Domain Generation Algorithms (Command and Control)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1055 — Process Injection (Defense Evasion)
• T1497.003 — Virtualization/Sandbox Evasion: Time Based Evasion (Defense Evasion)
• T1614.001 — System Location Discovery: System Language Discovery (Discovery)
• T1496 — Resource Hijacking (Impact)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1553.002 — Subvert Trust Controls: Code Signing (Defense Evasion)
• T1608.006 — Stage Capabilities: SEO Poisoning (Resource Development)

IOC

• Domaines : dedyn.io — VT · URLhaus · ThreatFox
• SHA256 : 2a61e811669c2fa9f2d9ecbc8d4c0932897409244d352dded764a4fd936c4d1c — VT · MalwareBazaar
• SHA256 : e066c6a728ac92d261c1abff7bfce1ad5ebd8b1ef054974431221629ac30d221 — VT · MalwareBazaar
• SHA256 : 2ebf2759195413e44f9e77cc8360976f989ff96e05531d40ec7d05756a1ea9c4 — VT · MalwareBazaar
• SHA256 : 8fe2edd0572ea9f092d80c503d2c6df9026c36bd0ace1a77bdeff9cc99737739 — VT · MalwareBazaar
• SHA256 : 73076c366edd5b8b351f04725663d2189a92dfdc93cc34740a61a1de9bbde51e — VT · MalwareBazaar
• SHA256 : b29cbf1bdde86ab15b5789e30dab7ce74c14ffd98f9d7e8b4f9887000e6d6834 — VT · MalwareBazaar
• SHA256 : 715e3ae134195f89d8da82ec4cbe6ba1d596d756a2c207a95f75a94afcdff3a4 — VT · MalwareBazaar
• SHA256 : 7a9d66a4637ee2a1ee1e82cfa5db91f720b757aa8fe1457e0807b1f2210b308e — VT · MalwareBazaar
• SHA256 : 4d75c5461b65a2944b12414f1e5ef301fe411c1968788134d90aaaa6a50e68dd — VT · MalwareBazaar
• Fichiers : winmm.dll
• Fichiers : wmpdui.dll
• Fichiers : Setup.exe
• Fichiers : WMPDMC.exe
• Fichiers : Cursor.exe
• Chemins : C:\ProgramData\WMProcess\WMPDMC.exe

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• YobaDropper (loader)
• YobaLoader (loader)
• XMRig (other)

🟢 Indice de vérification factuelle : 90/100 (haute)

• ✅ cryptika.com — source reconnue (Rösti community) (20pts)
• ✅ 6165 chars — texte complet (fulltext extrait) (15pts)
• ✅ 16 IOCs dont des hashes (15pts)
• ✅ 3/4 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 15 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 2a61e811669c2fa9… (sha256) → VT (13/76 détections)
• e066c6a728ac92d2… (sha256) → VT (18/76 détections)
• 2ebf2759195413e4… (sha256) → VT (32/76 détections)

🔗 Source originale : https://www.cryptika.com/hackers-abuse-signed-chatgpt-and-claude-applications-to-deploy-yoba-malware-and-evade-detection/