Qué hay detrás de Yoba, el malware que se disfraza de ChatGPT y Claude
Campaña de malware Yoba suplanta instaladores de ChatGPT y Claude mediante SEO poisoning, según Check Point Research. Riesgos y recomendaciones.
Una campaña de malware llamada Yoba suplanta instaladores de ChatGPT y Claude para infectar equipos de usuarios sin que estos lo perciban. Así lo ha documentado Check Point Research, la división de inteligencia de amenazas de Check Point Software Technologies, en un estudio publicado a finales de octubre.
Los atacantes aprovechan el interés masivo por estas herramientas de inteligencia artificial. Han creado repositorios y páginas en GitHub con nombres que imitan a modelos de frontera de OpenAI y Anthropic, como 'GPT-5.6 Sol' o 'Claude Opus'. El siguiente paso es posicionar esas páginas en los buscadores mediante la técnica conocida como envenenamiento de motores de búsqueda, o SEO poisoning.
Según el informe, ni OpenAI ni Anthropic han sufrido una brecha en sus sistemas. El problema radica en que los ejecutables legítimos, firmados digitalmente por ambas compañías, se incluyen en los instaladores falsos. Esa firma otorga una apariencia de confianza que facilita la infección.
El mecanismo técnico se apoya en el llamado DLL sideloading. Con esta técnica, el atacante carga una biblioteca maliciosa junto a un archivo genuino, lo que le permite eludir parte de las protecciones habituales. Yoba además verifica el idioma regional y los privilegios de administración para evitar a los analistas de seguridad y a los sistemas automatizados de análisis.
La persistencia del ataque se logra mediante tareas programadas. El malware espera órdenes y descarga módulos adicionales a través de servicios web legítimos. Entre ellos figuran la imagen de perfil de un canal de Telegram, usada para extraer información de dominio, y el servicio DNS-over-HTTPS de Google, empleado para leer registros TXT cifrados. El ejecutable final se descarga desde Catbox, una plataforma pública de almacenamiento. Este uso de servicios legítimos dificulta su bloqueo.
Check Point Research considera que una infección de este tipo debe tratarse como un compromiso total del equipo. YobaLoader puede desplegar cualquier ejecutable o script en PowerShell, lo que abre la puerta a todo tipo de ataques posteriores. Para los responsables de seguridad, en empresas y administraciones, el riesgo se extiende más allá del usuario individual.
Las recomendaciones de la firma son claras. Conviene descargar siempre los instaladores desde los canales oficiales de cada desarrollador, restringir los permisos de administración a usuarios no privilegiados y desplegar herramientas defensivas capaces de interceptar comunicaciones maliciosas en cualquier fase de la cadena de ataque.
El caso ilustra una tendencia más amplia. Los atacantes siguen de cerca la actualidad tecnológica y convierten el entusiasmo por la inteligencia artificial en vector de intrusión. A medida que estas herramientas se generalicen en el trabajo y en el ámbito público, la verificación del origen de cualquier software se convertirá en una práctica básica de higiene digital.