Sahte ChatGPT ve Claude uygulamaları, OpenAI ve Anthropic'in imzalı dosyalarını kullanarak kripto para madencisi kurdu

Güvenlik şirketi Check Point’in araştırma birimi Check Point Research, 27 Ekim’de ChatGPT ve Claude gibi yapay zekâ araçlarının popülerliğini kullanan ve Yoba adını verdiği bir kampanyayı anlattı. Saldırganlar GitHub’da GPT-5.6 Sol, GPT-6 Astra ve Claude Opus adlı masaüstü uygulamalarıymış gibi görünen sahte projeler açtı. Check Point kampanyayı son iki aydır izliyor.

Sahte projeler

Check Point’e göre projeler gerçek GitHub altyapısını kullandığı için güvenilir görünüyor. Yazılımın özelliklerini anlatan GitHub.io sayfalarındaki indirme bağlantıları, GitHub’da sürüm (release) olarak yayımlanan zararlı ZIP dosyalarına gidiyor. Projelerin yıldız ve çatallama sayıları yapay olarak şişirilmedi. Check Point, projelerin buna rağmen Google aramalarında üst sıralarda çıkmasını büyük olasılıkla arama motoru zehirlemesine (SEO poisoning) bağlıyor.

İlk depo Temmuz 2026 civarında açıldı, ancak ilk iki zararlı dosya Ağustos sonunda, üçüncüsü yaklaşık beş gün sonra yüklendi. ZIP dosyaları parolasızdı. Check Point bunu, dosyaların analiz önleyici teknikler sayesinde zaten çok az güvenlik ürününe yakalanmasına bağlıyor.

İmzalı dosyanın arkasına gizlenen zararlı

ZIP dosyalarında OpenAI’ın imzalı, gerçek bir Setup.exe dosyası ve yanında winmm.dll adlı zararlı bir DLL bulunuyor. Claude sürümündeki Setup.exe ise Anthropic’in imzalı, gerçek bir Claude dosyası. Setup.exe çalıştırıldığında yanındaki zararlı DLL’i yüklüyor. DLL yandan yükleme (DLL sideloading) adı verilen bu teknik, güvenlik önlemlerini atlatmak için sık kullanılıyor.

Check Point’in YobaDropper adını verdiği bu DLL, kendisini yükleyen dosyanın adı Setup.exe değilse işlemi sonlandırmıyor, ancak yaklaşık 12,7 gün boyunca bekliyor. Bu yöntem, DLL’in tek başına çalıştırıldığı analiz ortamlarını atlatmaya yönelik. Zararlı, klavye düzeni Rusça, Belarusça, Tacikçe, Ermenice, Azerice, Gürcüce, Kazakça, Kırgızca, Türkmence, Özbekçe ya da Tatarca olan bilgisayarlara bulaşmıyor. Check Point’e göre geçmişte bu tür listelerde yer alan Ukraynaca bu listede yok. Program yönetici yetkisiyle çalışmıyorsa kullanıcıdan programı yönetici olarak çalıştırmasını isteyen bir mesaj gösterip kapanıyor.

Yönetici yetkisiyle çalıştığında ProgramData altında WMProcess adlı bir klasör açıyor, Windows’un gerçek WMPDMC.exe dosyasını buraya kopyalıyor ve yanına wmpdui.dll adıyla ikinci aşamayı, YobaLoader’ı bırakıyor. Kalıcılık için, sistem açıldıktan 3 dakika sonra Local System hesabıyla çalışan ve yazarı Microsoft Corporation olarak gösterilen bir zamanlanmış görev oluşturuyor. Bu görev WMPDMC.exe’yi çalıştırarak YobaLoader’ı yüklüyor.

Komuta sunucusu yerine Telegram ve DNS

Check Point’e göre saldırgan ayrı bir komuta sunucusu kullanmıyor, bunun yerine Telegram, Tor, Catbox ve DNS over HTTPS hizmetlerine dayanıyor. YobaLoader önce t.me/yoba_fanclub adlı Telegram kanalının profil resmini indiriyor ve bu resmin son 50 baytından dedyn.io uzantılı bir alan adı üretiyor. Kanalın profil resmi değiştirilerek yeni bir alan adı üretilebiliyor. Ardından Google’ın DNS over HTTPS hizmetinden bu alan adının TXT kaydını sorgulayarak imzalı ve şifreli bir komut alıyor. Check Point’in incelediği örnekte bu komut, Catbox dosya paylaşım hizmetinden şifreli bir dosyanın indirilmesini sağladı. Check Point’e göre saldırgan bu yöntemle pasif DNS izlemesini ve bazı ağ geçidi tabanlı önlemleri atlatmayı amaçlıyor.

İndirilen dosya svchost.exe sürecine enjekte edilen XMRig 6.26.0 madencisi. Madenci, yerel bir Tor bağlantısı üzerinden bir .onion adresindeki madencilik sunucusuna bağlanıyor ve kullanıcı bilgisayarı kullanırken duruyor. Check Point’e göre YobaLoader genel amaçlı bir yükleyici. Saldırgan DNS üzerinden gönderdiği imzalı komutlarla herhangi bir program ya da PowerShell betiği çalıştırabildiği için sonraki dalgalarda farklı zararlı yazılımlar gönderilebilir.

Check Point zararlının daha eski bir sürümünü de buldu. Haziran 2026 başında görülen bu sürüm, Cursor yapay zekâ kodlama aracının adını taşıyan Cursor.exe adlı bir dosya tarafından yükleniyordu. Check Point bu Cursor.exe’nin gerçek ve imzalı bir dosya olup olmadığının belli olmadığını belirtiyor. Şirkete göre saldırganın Rus kökenli olduğuna işaret eden göstergeler var ve saldırgan ağırlıklı olarak UTC-4 saat diliminde çalışıyor görünüyor.

Önerilen önlemler

Check Point, kurumların doğrulanmamış depolardan “yapay zekâ yardımcıları” ya da benzeri araçlar kurma konusunda dikkatli olmasını ve bilinmeyen kaynaklardan gelen yazılımların çalıştırılmasını kısıtlayan politikalar uygulamasını öneriyor.

Check Point’in raporunda yer alan belirtilerden bazıları şunlar:

• Sahte GitHub sayfaları: gpt-5-6.github.io, gpt-6-astra.github.io, opus-5-0.github.io ve github.com/gpt-5-6/sol-free-desktop
• ProgramData altında WMProcess klasörü ve içindeki wmpdui.dll dosyası
• Telegram kanalı t.me/yoba_fanclub ve files.catbox.moe/z5zpy9.dat adresi