Zur Glaubwürdigkeit richteten die Angreifer zusätzlich GitHub.io-Seiten ein, auf denen die angeblichen Funktionen der Software beschrieben werden. Die Popularität der Projekte wurde nach Angaben von Check Point nicht über sogenannte Ghost Networks manipuliert; stattdessen deuten Hinweise auf SEO-Poisoning hin, damit die Links bei Google weit oben erscheinen.
Zu den identifizierten Adressen zählen:
- github[.]com/gpt-5-6/sol-free-desktop
- gpt-5-6.github[.]io
- github[.]com/gpt-5-6/gpt-5-6.github.io
- github[.]com/gpt-6-astra/gpt-6-astra.github.io
- gpt-6-astra[.]github[.]io
- github[.]com/opus-5-0/opus-5-0.github[.]io
- opus-5-0[.]github[.]io
Jedes Repository nutzt eine andere E-Mail-Adresse — edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com und rioprestonlfyx[@]outlook[.]com —, und der Uploader scheint jeweils in UTC+4, UTC-4 beziehungsweise UTC+3 zu agieren. „Diese Widersprüchlichkeit spiegelt vermutlich den gezielten Versuch wider, die tatsächliche Arbeitszeitzone des Akteurs zu verschleiern", so Check Point.
In den Repositories liegen ZIP-Archive, die unter anderem zwei entscheidende Komponenten enthalten: eine legitime, signierte Programmdatei von OpenAI Codex beziehungsweise Claude namens Setup.exe sowie die schädliche Bibliothek winmm.dll, die von dieser Datei per Sideloading geladen wird.
Die DLL ist ein Dropper mit dem Namen YobaDropper. Er bildet eine Prüfsumme über den Basisnamen der ausführenden Datei und vergleicht sie mit dem fest einprogrammierten Wert „0xE6C2F326". Der Start muss also unter „Setup.exe" erfolgen; wird die DLL isoliert in einer Sandbox ausgeführt, scheitert die Prüfung. Hinzu kommen weitere Analyse-Hürden: 200.000 Durchläufe von „Sleep(5500)", was insgesamt 12,73 Tagen entspricht, sowie das Überspringen von Rechnern, deren Tastaturbelegung Russland, Belarus, Tadschikistan, Armenien, Aserbaidschan, Georgien, Kasachstan, Kirgisistan, Turkmenistan oder Usbekistan zugeordnet ist. Ausgeschlossen wird außerdem die Sprachkennung Tatarisch. Auffällig ist, dass die Ukraine fehlt, die in solchen Prüfungen historisch enthalten war.
YobaDropper startet seinerseits eine Sideloading-Kette aus „wmpdmc.exe" und „ampdui.dll": Die ausführbare Datei wird aus dem Ordner „system32" kopiert und in ein neu angelegtes Verzeichnis „WMProcess" unterhalb von „ProgramData" gelegt. Anschließend entpackt und entschlüsselt der Dropper eine eingebettete Nutzlast und legt sie im selben Ordner als „wmpdui.dll" ab. Dauerhaft verankert wird das Ganze über eine geplante Aufgabe, die die legitime Programmdatei startet, damit diese die schädliche Nutzlast lädt.
Bei der zweiten DLL handelt es sich um YobaLoader. Er nutzt denselben Anti-Sandbox-Mechanismus und erzwingt über einen Hash-Vergleich mit dem Wert „0x552751E3", dass er ausschließlich von „wmpdmc.exe" ausgeführt wird. Der Lader erfüllt drei Hauptaufgaben:
- Er lädt ein Bild aus einem Telegram-Kanal („t[.]me/yoba_fanclub") herunter.
- Aus den letzten 50 Bytes bildet er einen Startwert für einen Domain-Generierungsalgorithmus, der aus drei Wortlisten und einer Ganzzahl zwischen 0 und 999 eine Domain im Format „adjektiv-substantiv-verb-ziffer.dedyn[.]io" erzeugt.
- Über die DNS-over-HTTPS-Schnittstelle von Google fragt er zu dieser Domain einen DNS-TXT-Eintrag ab, der einen Base64-kodierten Befehl enthält. Entschlüsselt ergibt sich daraus die Adresse der nächsten Stufe („files.catbox[.]moe/z5zpy9.dat").
„Durch die Nutzung eines DoH-Dienstes und verbreiteter Filehosting-Plattformen will der Akteur passive DNS-Überwachung und manche Schutzmechanismen am Gateway umgehen und seinen Command-and-Control-Verkehr schwerer von normaler Nutzeraktivität unterscheidbar machen", erklärte Check Point.
Die heruntergeladene Nutzlast wird in „svchost.exe" injiziert; am Ende steht die Ausführung des Kryptowährungs-Miners XMRig.
Den Spuren zufolge entstand das erste GitHub-Repository um Juli 2026, die schädlichen Releases wurden jedoch erst gegen Ende August hochgeladen. Frühe Versionen von YobaLoader schlossen lediglich Russland von der Infektion aus und enthielten umfangreiche Anti-Debugging- und Anti-VM-Prüfungen, die in neueren Fassungen entfernt wurden.
„Die Yoba-Kampagne zeigt, wie Angreifer vertrauenswürdige Plattformen und das aktuelle Interesse an KI-Werkzeugen nutzen können, um Schadsoftware auf eine Weise zu verbreiten, die auf den ersten Blick glaubwürdig und harmlos wirkt", so Check Point. Indem der Code zusammen mit bekannten Softwarenamen verpackt und auf GitHub gehostet werde, sinke die Wahrscheinlichkeit, dass Nutzer oder einfache Sicherheitsprüfungen die Dateien sofort als verdächtig einstufen.