網路犯罪分子一直利用圍繞人工智慧（AI）技術的熱潮，透過模仿 ChatGPT 和 Claude 等熱門 AI 工具的偽造桌面應用程式，散布加密貨幣挖礦惡意軟體。
在最近的一份報告中，網路安全廠商 Check Point Research（CPR）表示，威脅行為者一直在建立偽造的 GitHub 儲存庫，以宣傳 GPT-5.6 Sol、GPT-6 Astra 和 Claude Opus 等偽造 AI 應用程式。
駭客甚至建立了專門的 GitHub.io 網站，用來推廣他們的偽造 AI 應用程式，並誘騙受害者下載惡意檔案。
根據 CPR 研究人員的說法，攻擊者正在利用搜尋引擎優化（SEO）操縱手段，讓他們的惡意網站排名在 Google 上名列前茅。
該惡意軟體如何運作？
這波攻擊活動最令人擔憂的方面之一，是攻擊者如何利用 OpenAI 和 Anthropic 的合法軟體元件來掩蓋惡意活動。
受害者可下載的惡意 ZIP 壓縮檔中包含合法的數位簽章可執行檔。這些合法的可執行檔與惡意 DLL 捆綁在一起。
一旦受害者執行這個看似合法的應用程式，由於 DLL 側載技術，惡意 DLL 就會在他們不知情的情況下被載入。
這使得受害者極難發現攻擊，因為該惡意軟體依賴合法軟體來執行其程式碼。
最終，該攻擊會導致安裝 XMRig，這是一款加密貨幣挖礦程式，會悄悄利用受害者的資源為攻擊者挖掘數位資產。
有趣的是，該惡意軟體還能在偵測到使用者活動時停止挖礦，以便逃避偵測。
駭客採用各種策略來避免被偵測
此外，CPR 研究人員發現，該惡意軟體包含多種技術，使安全調查更加困難。
例如，如果它偵測到自己不是在預期的可執行檔下執行，就能將執行暫停很長一段時間。
它還會在繼續進行感染之前，檢查電腦上的鍵盤語言設定。
該攻擊活動的第一個 GitHub 儲存庫出現於 2026 年 7 月，而惡意下載則在 8 月底開始湧現。
目前，該酬載是一款加密貨幣挖礦程式，但研究人員警告，YobaLoader 有可能被用來部署其他類型的惡意軟體。
