Фальшивые AI-установщики запускают скрытый майнер: Check Point исследовала кампанию Yoba
Публикация источника: 2026-10-27 · Редакционный анализ опубликован: 2026-10-30
Исследование от 27 октября выявило поддельные AI-приложения на GitHub со вредоносными файлами рядом с настоящими подписанными программами. Наблюдаемой конечной нагрузкой был XMRig, установленный без согласия на майнинг.
Правдоподобная загрузка может содержать чужую майнинговую работу
Check Point Research в отчёте от 27 октября описала Yoba — кампанию распространения поддельных AI-приложений через GitHub и GitHub Pages. Исследователи наблюдали цепочку, которая в итоге запускала майнер XMRig на Windows-компьютере жертвы. Прямая связь с майнингом — несанкционированное использование чужих вычислительных ресурсов, а не новая возможность дохода их владельца.
Отчёт касается деятельности, отслеживавшейся предыдущие месяцы. 27 октября — дата раскрытия, не доказательство заражения всех устройств именно в тот день; позднее освещение не делает это открытием 30 октября. Новые данные показывают, как названия известных программ, настоящий хостинг и подписанные файлы совместили для маскировки нежелательного майнинга.
Подпись относится к файлу, не ко всем соседям в архиве
Злоумышленники положили вредоносные компоненты рядом с настоящими подписанными исполняемыми файлами OpenAI и Anthropic. При запуске легитимная программа могла косвенно загрузить соседнюю вредоносную динамическую библиотеку — DLL sideloading. Библиотека содержит код, который программа подгружает во время работы; подписанный запускной файл и библиотека не обязательно имеют одного автора или одинаковую надёжность.
Поэтому подпись одного файла не подтверждает безопасность всего архива. Отчёт описывает поддельные пакеты, а не доказательства поставки официальных ChatGPT или Claude самими разработчиками с майнером внутри. Знакомое название, действующая подпись компонента и настоящий адрес github.com отвечают на разные вопросы; ни одно само не удостоверяет издателя всего пакета.
Наблюдаемый майнер работал незаметно
Конечной нагрузкой Check Point определила XMRig 6.26.0, запущенный внутри системного процесса Windows с майнинговым соединением через Tor. Конфигурация могла приостанавливать работу во время активности человека. Поэтому тишина, пока пользователь двигает мышью, не исключает возобновления работы после простоя компьютера.
XMRig существует и как легитимная программа майнинга. Проблема здесь — кто его установил, чью задачу он выполняет и согласен ли владелец. Исследователи описывают универсальный загрузчик, способный позже доставить другие компоненты, поэтому нельзя гарантировать лишь лишние расходы электричества. При этом отчёт не устанавливает кражу доступа к кошельку каждого пострадавшего.
Права администратора и языковые проверки не гарантируют защиту
Изученный начальный компонент просил повторный запуск от администратора, если прав не хватало. Он также проверял язык системы: украинский прямо исключён из набора раскладок, которые последние версии исключали из заражения. Это наблюдаемый фильтр, не надёжная защита по языку или стране. Смена раскладки не является исправлением; украинскому читателю не стоит считать себя автоматически вне кампании.
Рабочий компьютер оператора может хранить доступ к пулу, мониторинг и кошелёк. Посторонний помощник тогда затрагивает среду управления майнерами, а не только нагружает процессор. Выясняйте происхождение: начинайте с канала настоящего разработчика, проверяйте владельца репозитория и ссылки проекта. Высокое место в поиске не является одобрением.
Проверяйте установку без запуска подозрительного образца
Для защитной проверки исследователи называют каталог WMProcess внутри ProgramData и закрепление через запланированные задания. Это признаки для анализа надёжными средствами, а не приказ удалять системные компоненты только по имени. Обычные процессы Windows используют и настоящие программы. Одно имя процесса или горячий ноутбук — не полный диагноз.
Если подозрительный установщик уже запускался, не используйте эту среду для чувствительного управления пулом или кошельком до проверки. Важные учётные записи просмотрите с чистого надёжного устройства привычными официальными каналами и обратитесь за технической помощью. Не вводите фразу восстановления на странице якобы очистки и не загружайте вторую непроверенную программу для ремонта первой.
Отчёт публикует индикаторы для защиты, но для понимания риска не требуется посещать вредоносные репозитории, соединяться с майнером или запускать образец. Мы прочитали документ без загрузки и выполнения вредоносного кода. Практический вывод — отличать правдоподобный пакет от проверенного канала поставки; скрытый майнер стал следствием потери этой разницы.
В оценке затрат отделяйте разрешённую работу от нежелательной фоновой нагрузки. Лишняя работа процессора искажает измерения электричества и отнимает ресурсы нужных задач, но не доказывает появления второго оплачиваемого потока дохода. Прежде чем считать рост мощности продуктивным, выясните, что установлено сознательно, какой воркер и направление выплат используются и контролирует ли владелец систему.
Источник: Check Point Research ↗
Калькулятор майнинга ↗
