Ứng dụng ChatGPT, Claude giả phát tán Yoba: chữ ký số thật vẫn chưa đủ

Nền tảng lưu trữ có uy tín không đồng nghĩa mọi dự án trên đó đều do hãng phát hành. Chiến dịch dùng các tên GPT-5.6 Sol, GPT-6 Astra và Claude Opus để quảng bá ứng dụng desktop, dựng thêm trang GitHub Pages mô tả tính năng rồi dẫn thẳng tới bản ZIP trong mục phát hành. Tên sản phẩm ở đây là nội dung mồi nhử, không phải xác nhận rằng các bộ cài ấy là ứng dụng chính hãng.

Các trang giả còn mô tả khả năng làm việc với mã nguồn, phiên bản dành cho Windows hoặc ưu đãi tải miễn phí. Những chi tiết này khiến lời mời cài ứng dụng có vẻ hợp lý với người đang tìm một công cụ AI mới. Tuy nhiên, một trang có hướng dẫn cài đặt và bảng tính năng chỉ chứng minh người dựng trang đã chuẩn bị nội dung, không chứng minh họ có quyền phân phối phần mềm mang thương hiệu đó.

Báo cáo không ghi nhận dấu hiệu bơm sao hay lượt fork cho các kho mã, nhưng các trang vẫn xuất hiện ở vị trí cao trên Google. SEO poisoning là cách giải thích được nhóm nghiên cứu đưa ra với mức độ khả dĩ, không phải một cơ chế thao túng xếp hạng đã được xác nhận đầy đủ. Điểm cần lưu ý là kết quả tìm kiếm có thể đưa người dùng tới đúng GitHub nhưng sai người phát hành.

Với người tìm bộ cài bằng các cụm “download free” hoặc “setup”, tên miền quen thuộc dễ trở thành tín hiệu tin cậy thay cho việc kiểm tra chủ tài khoản. Đây là sự đánh tráo nguy hiểm: GitHub cung cấp hạ tầng lưu trữ, còn trách nhiệm về nội dung dự án thuộc về người đăng. Thứ hạng tìm kiếm cũng không phải chứng nhận an toàn.

Yêu cầu chạy lại bằng quyền quản trị là thời điểm người dùng nên dừng để kiểm tra bộ cài, thay vì coi đó là một bước cài đặt đương nhiên. Yoba kiểm tra quyền hiện tại; nếu chưa có quyền quản trị, nó hiện thông báo yêu cầu chạy bằng Administrator rồi thoát. Chuỗi triển khai được mô tả phụ thuộc vào việc người dùng cấp quyền này.

Sau đó, mã độc sao chép WMPDMC.exe hợp lệ của Windows từ System32 sang thư mục ProgramData\WMProcess và đặt thư viện wmpdui.dll độc hại cạnh nó. Đây là lần lợi dụng tệp hợp lệ tiếp theo, giúp bộ nạp YobaLoader được chạy dưới vỏ bọc một thành phần quen thuộc của Windows thay vì một ứng dụng AI mới tải.

Theo phân tích của Check Point Research, tác vụ được tạo mang tên tác giả Microsoft Corporation, có mô tả thu thập siêu dữ liệu cho Windows Media Player và chạy dưới tài khoản Local System sau khi máy khởi động 3 phút. Tên tác giả trong mô tả tác vụ không có ý nghĩa tương đương chữ ký số: đó là thông tin mã độc có thể tự ghi để đánh lừa người kiểm tra.

Yoba còn dùng kiểm tra tên tiến trình để cản phân tích tự động. Nếu không chạy dưới tên Setup.exe như mong đợi, dropper thực hiện vòng chờ khoảng 12,73 ngày, theo Check Point Research. Đây là nhánh chống phân tích có điều kiện, không có nghĩa mọi máy nhiễm đều phải đợi gần hai tuần mới bị đào tiền. Mã độc cũng lọc một số bố cục bàn phím; cơ chế đó không phải biện pháp phòng vệ cho người dùng.

Các biến thể cũ cũng cho thấy cơ chế né phân tích thay đổi theo thời gian: bộ nạp từng kiểm tra ngôn ngữ, tìm dấu vết trình gỡ lỗi và nhận diện môi trường máy ảo. Ở biến thể mới, một số phép kiểm tra đã bị bỏ hoặc chuyển sang dropper. Vì vậy, đối chiếu riêng một dấu hiệu của mẫu cũ không đủ để nhận diện toàn bộ họ mã độc.

Chặn một địa chỉ tải ban đầu chưa chắc đã cắt được toàn bộ chuỗi điều khiển, vì Yoba dùng dịch vụ phổ biến để tìm địa chỉ cho giai đoạn sau. Bộ nạp lấy ảnh đại diện của một kênh Telegram, dùng phần dữ liệu cuối ảnh để tạo tên miền rồi truy vấn bản ghi DNS TXT qua dịch vụ DNS-over-HTTPS của Google. Thay ảnh có thể làm thay đổi tên miền được tạo.

Dữ liệu phản hồi được kiểm tra chữ ký Ed25519 rồi giải mã, cung cấp chỉ dẫn tải tệp từ dịch vụ lưu trữ Catbox. Việc dùng Telegram hay DNS mã hóa không tự nó là hành vi độc hại; vấn đề nằm ở cách bộ nạp phối hợp các dịch vụ ấy để nhận lệnh. Do lưu lượng khó tách khỏi hoạt động thông thường chỉ bằng tên dịch vụ, kiểm soát ở máy đầu cuối vẫn cần thiết.

Tải trọng được Check Point Research quan sát là XMRig 6.26.0 đào Monero qua Tor. Bộ đào có thể tạm ngừng khi người dùng hoạt động, nên không thể kết luận máy sạch chỉ vì quạt chưa quay lớn hoặc máy chưa chậm rõ rệt. Ngược lại, máy nóng hay CPU cao cũng không đủ để khẳng định nhiễm Yoba nếu chưa kiểm tra tiến trình và tệp liên quan.

Rủi ro không dừng ở tiền điện và tài nguyên xử lý. YobaLoader có khả năng tải tệp thực thi hoặc script PowerShell theo chỉ dẫn từ xa, vì thế bên điều khiển có thể đổi tải trọng trong đợt sau. Đây là khả năng của bộ nạp; báo cáo không xác nhận chiến dịch hiện tại đã phát tán ransomware hay phần mềm đánh cắp dữ liệu. Cần giữ rõ ranh giới giữa điều đã quan sát và điều có thể xảy ra.