YobaDropper
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
YobaDropper es un loader de la cadena de infección del malware Yoba en Windows. Se reporta desde noviembre de 2026. Opera mediante DLL sideloading usando ejecutables firmados de OpenAI y Anthropic. Su función es desplegar YobaLoader y facilitar la ejecución de mineros de criptomonedas.
Cómo llega
Entra mediante repositorios fraudulentos en GitHub que suplantan aplicaciones de ChatGPT y Claude. Los atacantes aprovechan ejecutables legítimos y firmados digitalmente de OpenAI y Anthropic junto con DLLs maliciosas para lograr DLL sideloading y evadir la detección.
Qué hace una vez dentro
Despliega el componente YobaLoader y facilita la ejecución de mineros de criptomonedas como XMRig. Emplea técnicas anti-análisis que incluyen verificación de procesos, retrasos de ejecución y exclusiones regionales por idioma. Se comunica con C2 usando imágenes de perfiles de Telegram, algoritmos de generación de dominios y DNS sobre HTTPS vía Google.
A quién ataca
Apunta a usuarios de Windows que descargan aplicaciones fraudulentas de GitHub que suplantan a ChatGPT y Claude. La campaña distribuye malware de minería de criptomonedas mediante repositorios maliciosos que imitan aplicaciones de inteligencia artificial legítimas.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
