يوزع مهاجمون برمجيات تحميل خبيثة وبرمجيات لتعدين العملات المشفرة متخفين في هيئة تطبيقات مكتبية للذكاء الاصطناعي لكل من Claude من أنثروبيك وChatGPT من أوبن إيه آي، ضمن حملة أطلق عليها اسم يوبا (Yoba). وتقوم الحملة على إنشاء مشاريع مزيفة على جيت هاب تدعي أنها تطبيقات مكتبية مثل GPT-5.6 Sol وGPT-6 Astra وClaude Opus، بهدف توصيل عائلة برمجيات خبيثة تسمى يوبا لودر (YobaLoader).
وقالت شركة تشيك بوينت ريسيرش في تحليلها إن البرمجية الخبيثة توضع بجوار ملفات تنفيذية موقعة وشرعية من أوبن إيه آي وأنثروبيك، بحيث تُحمَّل بصورة غير مباشرة عبر تقنية تعرف بالتحميل الجانبي للمكتبات (DLL sideloading)، وهي تقنية تُستخدم كثيرا لتجاوز الحمايات الأمنية. ولإضفاء مصداقية على المشاريع، أنشأ المهاجمون صفحات على GitHub.io تصف إمكانات البرمجيات. ورغم أن شعبية المشاريع لم يجر التلاعب بها بأساليب مثل الشبكات الوهمية، فإن المؤشرات ترجح استخدام تسميم محركات البحث لإظهار روابطها في صدارة نتائج جوجل.
مستودعات مزيفة وبصمات مضللة
من الروابط التي جرى رصدها على جيت هاب مستودعات تحمل أسماء مثل gpt-5-6/sol-free-desktop وgpt-6-astra/gpt-6-astra.github.io وopus-5-0/opus-5-0.github.io، إضافة إلى صفحات GitHub.io المقابلة لها. ويستخدم كل مستودع عنوان بريد إلكتروني مختلفا من خدمة آوتلوك، ويبدو أن الجهة الرافعة تعمل في توقيتات UTC+4 وUTC-4 وUTC+3 على التوالي. وقالت تشيك بوينت إن هذا التباين يعكس على الأرجح محاولة متعمدة لإخفاء المنطقة الزمنية الحقيقية لمنفذ الهجوم.
وتحوي المستودعات أرشيفات ZIP تضم، من بين ملفات أخرى، مكونين محددين: الأول ملف Setup.exe وهو ملف تنفيذي موقع وشرعي لـOpenAI Codex أو Claude، والثاني ملف winmm.dll وهو مكتبة خبيثة يحملها الملف التنفيذي جانبيا.
يوبا دروبر: فحوص لتفادي التحليل
المكتبة الخبيثة هي برمجية إسقاط مسماة يوبا دروبر (YobaDropper)، تنفذ فحصا لقيمة تحقق بحساب تجزئة اسم الملف التنفيذي المضيف ومطابقتها بقيمة ثابتة هي 0xE6C2F326. بمعنى أن تشغيلها مشروط بإطلاقها تحت الاسم Setup.exe، وتفشل إذا شُغلت المكتبة وحدها داخل بيئة معزولة. وتشمل تقنيات مقاومة التحليل والفحوص المسبقة 200 ألف تكرار للأمر Sleep(5500)، أي ما يعادل 12.73 يوما، وتخطي الأجهزة التي تتوافق تخطيطات لوحة مفاتيحها مع روسيا وبيلاروس وطاجيكستان وأرمينيا وأذربيجان وجورجيا وكازاخستان وقرغيزستان وتركمانستان وأوزبكستان. ويستثنى كذلك معرّف لغة التتار من عملية الإصابة، ويلاحظ غياب أوكرانيا عن القائمة، وهي التي كانت تدرج تاريخيا في فحوص مماثلة.
ويطلق يوبا دروبر بدوره سلسلة تحميل جانبي خاصة به، تضم الملفين wmpdmc.exe وampdui.dll، إذ ينسخ الأول من مجلد system32 ويضعه في مجلد جديد باسم WMProcess ينشئه داخل ProgramData. ثم يستخرج حمولة مضمنة ويفك تشفيرها ويضعها في المجلد نفسه باسم wmpdui.dll، ويثبّت بقاءه عبر مهمة مجدولة تطلق الملف التنفيذي الشرعي ليحمّل الحمولة الخبيثة.
يوبا لودر: خوارزمية نطاقات وقناة DNS مشفرة
المكتبة الثانية هي يوبا لودر، وتطبق تقنية مقاومة العزل نفسها، إذ تشترط تشغيلها بواسطة wmpdmc.exe وحده بمطابقة تجزئة مع قيمة ثابتة هي 0x552751E3. وتتولى ثلاث مهام رئيسية: تنزيل صورة من قناة على تلغرام، ثم استخدام آخر 50 بايت منها بذرة لتوليد نطاق عبر خوارزمية توليد النطاقات (DGA) اعتمادا على ثلاث قوائم من الكلمات وعدد صحيح بين 0 و999، لينتج نطاق بصيغة صفة-اسم-فعل-رقم يتبعه dedyn.io. وأخيرا تستعلم واجهة DNS عبر HTTPS من جوجل (DoH) للحصول على أمر مشفر بصيغة Base64 من سجل DNS نصي TXT، مع تمرير النطاق المولد مدخلا.
وبعد فك تشفير الاستجابة، تحصل البرمجية على رابط لجلب الحمولة التالية من منصة catbox لاستضافة الملفات. وقالت تشيك بوينت إن اعتماد المهاجم على خدمة DoH ومنصات استضافة ملفات شائعة يهدف إلى تجاوز مراقبة DNS السلبية وبعض حمايات البوابات، ما يجعل حركة القيادة والتحكم أصعب تمييزا عن نشاط المستخدم المعتاد. وتُحقن الحمولة المنزلة في العملية svchost.exe، فينتج عن ذلك تشغيل برنامج تعدين العملات المشفرة XMRig.
تطور الحملة عبر الوقت
تشير الأدلة إلى أن أول مستودع على جيت هاب أُنشئ نحو يوليو 2026، رغم أن الإصدارات الخبيثة لم تُرفع إلا في نهاية أغسطس. كما تبين أن النسخ المبكرة من يوبا لودر كانت تستثني روسيا وحدها من الإصابة، وتتضمن فحوصا واسعة ضد تصحيح الأخطاء والأجهزة الافتراضية، أزيلت لاحقا في النسخ الأحدث. وخلصت تشيك بوينت إلى أن الحملة تبين كيف يستطيع المهاجمون استغلال المنصات الموثوقة والاهتمام الراهن بأدوات الذكاء الاصطناعي لتوزيع برمجيات خبيثة تبدو في الظاهر مقنعة وغير ضارة، وأن تغليف الشيفرة مع أسماء برمجيات معروفة واستضافتها على جيت هاب يقلل احتمال أن يشتبه المستخدمون أو الفحوص الأمنية الأساسية في الملفات فورا.
