YobaLoader
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
YobaLoader es un componente de la cadena de infección multietapa de la campaña Yoba. Funciona como loader que descarga y ejecuta payloads cifrados obtenidos a través de C2. Utiliza la técnica de DLL sideloading con ejecutables firmados de OpenAI y Anthropic para evadir la detección. Se reporta en el contexto de la campaña Yoba.
Cómo llega
Entra mediante repositorios de GitHub fraudulentos que suplantan aplicaciones de ChatGPT y Claude AI. Los atacantes aprovechan ejecutables legítimos y firmados digitalmente de OpenAI y Anthropic junto con DLLs maliciosas para lograr DLL sideloading. La comunicación C2 usa imágenes de perfiles de Telegram, algoritmos de generación de dominios y DNS sobre HTTPS vía Google.
Qué hace una vez dentro
Descarga y ejecuta payloads cifrados obtenidos a través de canales de C2. Emplea técnicas anti-análisis que incluyen verificación de procesos, retrasos de ejecución y exclusiones regionales de idioma. Se observa la implementación de un minero de criptomonedas XMRig como parte de la arquitectura del loader.
A quién ataca
Apunta a usuarios que descargan aplicaciones fraudulentas de ChatGPT y Claude AI desde repositorios de GitHub. La evidencia no especifica sectores industriales, regiones geográficas o plataformas operativas específicas más allá de la distribución a través de repositorios de código.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
