新聞 
幣種資訊 
關於我們 
假冒 ChatGPT 與 Claude 桌面程式的安裝包中，發現挖礦惡意程式 XMRig 6.26.0。壓縮檔內同時包含由 OpenAI 或 Anthropic 簽署的執行檔，以及惡意 DLL。
Check Point Research 於27日發布報告指出，研究人員將這波活動追蹤為「Yoba」。目前沒有證據顯示 OpenAI 或 Anthropic 的服務本身遭到入侵。
攻擊者建立 GitHub 儲存庫與網頁，將「GPT-5.6 Sol」、「GPT-6 Astra」及「Claude Opus」包裝成桌面程式。下載連結則指向上傳至 GitHub 的惡意 ZIP 壓縮檔。
研究人員表示，相關網站出現在 Google 搜尋結果前列，符合利用搜尋引擎最佳化（SEO）吸引使用者下載的手法。搜尋結果中出現某個名稱，並不能證明檔案由該名稱所代表的單位發布，也不代表檔案安全。
報告記錄的儲存庫自2026年7月起陸續建立，首個惡意檔案則於同年8月底公開。儲存庫較早建立，不能據此判定之後上傳的安裝檔安全。
壓縮檔內有電子簽章有效、由 OpenAI 或 Anthropic 簽署的安裝執行檔，以及惡意 DLL。執行檔會載入同一資料夾中的 DLL，藉此啟動惡意程式，這種手法稱為 DLL 側載。電子簽章可用來驗證已簽署的執行檔，但不代表與它一同散布的其他檔案也安全。
惡意 DLL 啟動後，YobaLoader 會下載並執行後續檔案。本次確認的最終檔案為 XMRig 6.26.0，會透過 Tor 與挖礦基礎設施通訊，並能在使用者操作電腦時暫停挖礦。
YobaLoader 也能傳送其他 Windows 執行檔或 PowerShell 指令碼。不過，這是載入器具備的功能，不代表本次事件中實際散布了挖礦程式以外的檔案。
Check Point Research 表示，研究人員也曾在2026年6月觀察到早期 Yoba 變種，當時攻擊者以開發工具 Cursor 作為誘餌。
報告未公布受感染裝置數量或挖礦量。Check Point Research 建議，使用者不要直接從搜尋結果或第三方儲存庫下載 AI 軟體，應先確認來源是否為官方發布管道。
留言 0