Sahte ChatGPT ve Claude uygulamalari DLL yan yukleme ile YobaLoader zararlisini yayiyor

Tehdit aktorleri, OpenAI'nin ChatGPT'si ve Anthropic'in Claude'u icin masaustu uygulamalari gibi gizlenmis zararli yukleyiciler ve kripto para madencileri dagitiyor. The Hacker News'in 29 Ekim 2026'da aktardigi Check Point arastirmasina gore Yoba adi verilen kampanya; "GPT-5.6 Sol", "GPT-6 Astra" ve "Claude Opus" gibi uygulamalar sundugunu iddia eden sahte GitHub projelerine dayaniyor. Bu projelerin gercek yuku ise YobaLoader adli bir zararli yazilim ailesi.

Neler oldu?

The Hacker News'e gore saldirganlar, inandirici gorunmek icin yazilimin sozde yeteneklerini anlatan GitHub depolari ve GitHub.io sayfalari olusturdu; baglantilari arama sonuclarinda ust siralara tasimak icin SEO zehirlemesi (SEO poisoning) belirtileri var. Indirilen her ZIP arsivi, "Setup.exe" adli mesru ve imzali bir OpenAI Codex veya Claude dosyasinin yaninda zararli bir "winmm.dll" iceriyor. Guvenilir dosya calistiginda bu sahte DLL'i yukluyor; DLL yan yukleme (DLL sideloading) olarak bilinen bu teknik sayesinde zararli, imzali bir dosyanin golgesinde dolayli olarak calisiyor. Check Point, zararlinin "OpenAI ve Anthropic'in mesru, imzali dosyalarinin yanina" yerlestirildigini soyledi.

Teknik detaylar

Rapora gore birinci asama birakici (zararli winmm.dll), yalnizca kendisini barindiran dosyanin adinin ozeti (hash) sabit kodlu bir degerle eslesirse calisiyor; boylece ciplak bir sanal ortamda (sandbox) basarisiz oluyor. Yaklasik 200.000 kez tekrarlanan bir uyku (sleep) cagrisiyla toplam yaklasik 12,7 gun boyunca bekliyor ve Rusya, Belarus ile birkac baska eski Sovyet ulkesinin klavye duzenlerini kullanan makineleri atliyor; ancak Ukrayna bu dislama listesinden cikarilmis. Ardindan mesru bir sistem dosyasini ProgramData altindaki yeni bir klasore kopyaliyor, ikinci bir DLL birakiyor ve bir zamanlanmis gorevle kaliciligi sagliyor.

The Hacker News'e gore ikinci asama YobaLoader, bir Telegram kanalindan gorsel indiriyor, bu veriyle beslenen bir alan adi uretme algoritmasi kullaniyor ve Google'in DNS-over-HTTPS (DoH) API'sini sorgulayarak Base64 kodlu bir komut iceren TXT kaydi aliyor; bu komut cozulunce dosya barindirma sitesi catbox.moe uzerindeki bir sonraki asama URL'sine ulasiliyor. Check Point, bu DoH ve dosya barindirma yonteminin aktore "pasif DNS izlemesini atlatma" imkani verdigini ve komuta-kontrol trafigini "normal kullanici etkinliginden ayirt etmeyi zorlastirdigini" soyledi. Son yuk svchost.exe'ye enjekte ediliyor ve XMRig kripto para madencisini calistiriyor.

Ne yapmali?

The Hacker News resmi bir oneriler bolumu icermiyor ve rapor kurban veya indirme sayisi vermiyor. Bulgulara dayanarak kullanicilar, yapay zeka araclarini arama sonuclari veya GitHub depolari yerine yalnizca resmi uretici sitelerinden edinmeli; gecerli bir kod imzasini guvenlik kaniti saymamali, cunku imzali dosyalar yine de zararli DLL'leri yan yukleyebiliyor. Savunmacilar; ProgramData gibi sistem disi klasorlere kopyalanan sistem dosyalarini, uygulama dizinlerinden yuklenen beklenmedik DLL'leri, bilinmeyen sureclerce olusturulan zamanlanmis gorevleri, tarayici disi sureclerden gelen DNS-over-HTTPS isteklerini ve XMRig madenciligiyle uyumlu svchost.exe anormalliklerini izleyebilir.