یک کمپین جرایم سایبری جدید از برنامه‌های هوش مصنوعی جعلی با نام‌های واقعی برای آلوده کردن افراد کنجکاو برای آزمایش جدیدترین ابزارها استفاده می‌کند.

مهاجمان از صفحات GitHub مسموم با سئو و مشتریان تقلبی هوش مصنوعی استفاده کردند تا قربانیان را برای دانلود بدافزار فریب دهند.

بدافزار Yoba پایداری را ایجاد می کند، از تجزیه و تحلیل طفره می رود و در نهایت رمزارزهای XMRig را به کار می گیرد.

سوء استفاده کمپین از علاقه به ابزارهای هوش مصنوعی محبوب مانند GPT و Claude برای کسب درآمد از منابع محاسباتی قربانیان مجرمان سایبری بار دیگر از علاقه مردم به ابزارهای هوش مصنوعی برای توزیع کریپ‌جکرها و کسب درآمد سوء استفاده می‌کنند - این بار ترکیبی از محصولات محبوب جعلی، GitHub قدیمی قابل اعتماد و کمی مسمومیت SEO را انتخاب می‌کنند.

این کمپین توسط کارشناسان امنیتی از Check Point Research (CPR) مشاهده شد که طی دو ماه گذشته آن را ردیابی کرده‌اند و خاطرنشان کردند که مهاجمان ناشناس مشتریان قابل دانلود جعلی برای GPT-5.6 Sol، GPT-6 Astra و Claude Opus ایجاد کرده و آنها را در GitHub میزبانی می‌کنند.

معمولا، زمانی که عوامل تهدید نرم‌افزار قانونی را جعل می‌کنند و سعی می‌کنند آن را از طریق GitHub منتشر کنند، راه بیشتری را برای تظاهر به مشروعیت می‌گذرانند - آنها به‌طور مصنوعی تعداد دانلودها را افزایش می‌دهند، ربات‌ها را برای افزایش ستاره‌ها یا فورک شماره‌ها، و ارسال نظرات جعلی ارسال می‌کنند. به این ترتیب، وقتی قربانی صفحه را باز می‌کند، هیچ دلیلی برای شک ندارد که به نرم‌افزار معتبر و محبوب نگاه می‌کند.

با این حال، در این مورد، آنها با GitHub اذیت نکردند. با این حال، CPR می‌گوید که این صفحات همچنان در بالای صفحات نتایج موتور جستجوی گوگل برای کلمات کلیدی خاص ظاهر می‌شوند، که نشان می‌دهد آن‌ها سرمایه‌گذاری زیادی در مسمومیت سئو کرده‌اند.

مسمومیت سئو

مسمومیت با بهینه سازی موتورهای جستجو (SEO) یک عمل ساده است - مجرمان صدها (اگر نه هزاران) مقاله، وبلاگ و پست رسانه های اجتماعی را در وب تاریک خریداری می کنند و آنها را آپلود و در سراسر اینترنت منتشر می کنند.

هر پست یک پیوند به صفحه GitHub مورد نظر دارد و به گوگل این سیگنال را می دهد که آن صفحه خاص برای عبارات خاصی محبوب و مرتبط است.

در نتیجه، گوگل آن را به بالای نتایج خود سوق می دهد و ناآگاهانه به مهاجمان کمک می کند تا سریعتر به اهداف خود برسند. مهاجمان همچنین وب‌سایت‌های گیت‌هاب جداگانه‌ای را ایجاد کرده‌اند تا به عنوان توضیحات برای برنامه‌ها عمل کنند و آنها را مستقیما به فایل‌های نصب قابل دانلود پیوند دهند.

به عنوان یک عمل، مسمومیت سئو حتی قبل از ظهور هوش مصنوعی رایج بود، اما اکنون این امر حتی آسان‌تر شده است، زیرا ابزارها می‌توانند به راحتی هر تعداد مقاله را که لازم است، با کسری از هزینه قبلی تولید کنند. بدیهی است که این متون بسیار بی کیفیت هستند و گوگل روی برچسب گذاری آنها به عنوان هرزنامه کار کرده است، اما این روند همچنان ادامه دارد.

وقتی قربانیان روی این صفحات GitHub فرود می‌آیند و فایل‌های اجرایی را دانلود می‌کنند، فکر می‌کنند که یک کلاینت مستقل برای یک ابزار هوش مصنوعی دریافت می‌کنند. چیزی که آنها در عوض دریافت می کنند یک بدافزار به نام Yoba است.

هنگامی که قربانی آن را دانلود و اجرا می کند، Yoba با ایجاد مکانیزمی که هر بار که سیستم دوباره راه اندازی می شود، آن را به طور خودکار راه اندازی می کند، پایداری را ایجاد می کند. کاربران متوسط ​​رایانه نیز ممکن است زمان سختی برای شناسایی آن داشته باشند، زیرا خود را به عنوان یک نرم افزار قانونی ویندوز معرفی می کند.

سپس Yoba دستگاهی را که روی آن کار می‌کند بررسی می‌کند تا مطمئن شود که در جعبه شنی قرار ندارد یا کسی را در یک کشور «دوستانه» آلوده نکرده است. می‌تواند عمدا اجرا را دو هفته به تاخیر بیاندازد تا تجزیه و تحلیل را دشوارتر کند، و صفحه‌کلید رایانه را برای جلوگیری از آلوده شدن سیستم‌های روسیه، بلاروس، قزاقستان و ازبکستان بررسی می‌کند. CPR نگفت که مهاجمان اهل کجا هستند، اما این فیلتر می‌تواند نشانه‌ای قوی باشد.

استقرار XMRig

آخرین مرحله بدافزار تماس با سرور C2 و کشیدن بار نهایی است. در حالی که این می تواند تقریبا هر چیزی باشد - از سرقت اطلاعات تا رمزنگارهای باج افزار، CPR می گوید که در حال حاضر برای استقرار XMRig استفاده می شود.

XMRig یک برنامه کاملا قانونی و متن باز است که برای استخراج ارز دیجیتال Monero استفاده می شود.

متأسفانه، در بین مجرمان سایبری بسیار محبوب است، زیرا مونرو به گونه‌ای طراحی شده است که یک سکه «اول از حریم خصوصی» باشد و برخلاف بیت‌کوین یا اتریوم، نمی‌توان آن را به راحتی در سراسر بلاک چین ردیابی کرد. استخراج به منابع محاسباتی و برق قابل توجهی و همچنین برای اتصال دستگاه ها به اینترنت نیاز دارد. با نصب XMRig بر روی دستگاه‌های بی‌شماری، کلاهبرداران می‌توانند مقدار زیادی توکن تولید کنند و قربانیان را وادار می‌کنند که انرژی متورم را دریافت کنند و صورتحساب را محاسبه کنند.