Cybercriminelen misbruiken fake ChatGPT-apps om schadelijke software te verspreiden die zich voordoet als AI-desktoptoepassingen van bekende namen. In de campagne, die door onderzoekers is aangeduid als Yoba, worden nepprojecten op GitHub gebruikt om uiteindelijk crypto-miners op Windows te laten draaien.
Het opvallende: de aanvallers plaatsen hun kwaadaardige componenten naast legitieme, door uitgevers ondertekende executables. Daardoor kan de malware op een manier worden geladen die traditionele beveiliging minder snel herkent: DLL sideloading. Hieronder lees je hoe het werkt, welke signalen je kunt herkennen en welke maatregelen je meteen kunt nemen.
Hoe fake ChatGPT-apps in de praktijk misleiden
De onderzoekers beschrijven dat aanvallers valse GitHub-projecten opzetten voor applicaties die lijken op AI-tools, zoals varianten voor Claude en ChatGPT. Deze projecten kregen beschrijvingen en online aanwezigheid die geloofwaardigheid moeten uitstralen, onder andere via GitHub.io-pagina’s.
Hoewel er geen aanwijzingen zijn dat de populariteit van de repositories met kunstmatige netwerken (zoals ghost networks) is opgevoerd, wijzen de signalen wél op SEO-poisoning. Met andere woorden: links naar de nepprojecten zouden op hogere plekken in zoekresultaten kunnen verschijnen, zodat gebruikers eerder geneigd zijn te downloaden.
De kern: ondertekende Setup.exe en een kwaadaardige DLL
In de ZIP-archieven die in de repositories worden gehost, zitten doorgaans meerdere onderdelen. Twee daarvan zijn cruciaal:
- Setup.exe, een door een leverancier ondertekend executable-bestand dat legitiem lijkt.
- winmm.dll, een kwaadaardige DLL die door de executables wordt “meegenomen” via DLL-sideloading.
De schadelijke DLL fungeert als een soort dropper: hij controleert of het bestand op de juiste manier wordt gestart. Daarbij gebruikt Yoba een checksum-achtige controle op basis van de bestandsnaam/basename van het host-executable. Als die match niet overeenkomt met een hardcoded waarde, stopt de infectie.
In de bronanalyse wordt expliciet genoemd dat de checksumcontrole verwacht dat het draait onder Setup.exe. Alleen dan gaat de keten verder. Dit moet helpen om pogingen om de DLL los te testen of in een gecontroleerde omgeving te analyseren, te frustreren.
Anti-analyse: vertraging, omgevingschecks en taaluitsluitingen
Naast de naam-/hashcheck gebruikt Yoba meerdere technieken om onderzoek lastiger te maken. Zo wordt extreem vaak een slaaproutine aangeroepen: 200.000 iteraties van Sleep(5500). Volgens de analyse komt dat neer op ongeveer 12,73 dagen aan “wachttijd”, wat echte uitvoering en analyse sterk kan vertragen.
Verder worden machines met specifieke keyboard layout waarden uitgesloten. Ook een taal-ID wordt genoemd die niet wordt geïnfecteerd. Opvallend is bovendien dat Ukraine in de genoemde uitsluitlijst ontbreekt, terwijl die eerder in vergelijkbare checks historisch wel werd gezien.
Deze combinatie van tijdrek en omgevingsfilters maakt het voor verdedigers lastiger om snel gedrag te reproduceren, maar ze geeft ook een duidelijke “handtekening” voor detectie: verdachte archieven die lang lijken te wachten en dan pas functionaliteit tonen, zeker wanneer ze AI-appnamen claimen.
DLL sideloading keten: van wmpdmc.exe naar YobaLoader
De dropper-module (YobaDropper) start vervolgens een eigen keten van DLL-sideloading. In de beschreven aanpak komen onder meer de volgende elementen terug:
- wmpdmc.exe wordt gekopieerd vanuit de system32-omgeving naar een door de malware aangemaakte map.
- Er wordt een map met een naam zoals WMProcess aangemaakt onder ProgramData.
- In die nieuwe omgeving wordt ook wmpdui.dll geplaatst.
Daarna wordt een ingebed payloadbestand onttrokken en gedecrypteerd, om te worden gedropt in dezelfde map als de betrokken DLL. Om het proces terug te laten keren, zet de malware ook persistentie op via een scheduled task die het legitieme executable aanroept om de kwaadaardige lading te laden.
De tweede component in de keten is YobaLoader. Deze loader herhaalt de anti-sandbox gedachte: ook hier wordt een check uitgevoerd op basis van de verwachte host-naam en een hardcoded hashwaarde. De uitvoering moet dus opnieuw precies in de juiste keten passen.
Command-and-control via Telegram, DoH en DGA
De loader richt zich vervolgens op het opbouwen van een dynamische route naar de volgende payload. De analyse noemt drie belangrijke stappen:
- De malware downloadt een afbeelding van een Telegram-kanaal (genoemd: t.me/yoba_fanclub).
- Ze gebruikt de laatste 50 bytes van die afbeelding als seed voor een domeingenerator (DGA). Het resultaat heeft een patroon zoals adjective-noun-verb-digit.dedyn.io, waarbij woorden uit meerdere lijsten en een getal (0–999) worden gecombineerd.
- Met een DNS-over-HTTPS (DoH) aanvraag vraagt de malware een DNS TXT-record op. In dat antwoord staat een Base64-encoded command, die wordt gedecrypt om de volgende downloadlink te verkrijgen.
Waarom dit interessant is voor aanvallers? Doordat de communicatie via een DoH-service loopt en de volgende instructie via een TXT-record komt, is het lastiger om het verkeer eenduidig te onderscheiden van normaal surfgedrag. Bovendien wordt in de bron genoemd dat algemene file-hostingplatforms worden gebruikt (bijvoorbeeld een link naar files.catbox.moe).
De gedownloade volgende fase wordt vervolgens in svchost.exe geïnjecteerd, waarna uiteindelijk een XMRig crypto-miner actief wordt.
Welke signalen kun je in je organisatie herkennen?
Niet elk detail is eenvoudig te detecteren zonder reverse engineering, maar er zijn wél praktische aanwijzingen. Let bijvoorbeeld op executables of DLL’s die:
- gekoppeld zijn aan “AI desktop” downloads met namen die sterk op bekende tools lijken;
- naast ondertekende bestanden een onbekende DLL of verdachte DLL-naam meenemen (zoals winmm.dll binnen ZIP’s);
- na het opstarten ongebruikelijke wachttijden vertonen en pas zeer laat gedrag tonen;
- programma’s kopiëren naar omgevingen zoals ProgramData en daar scheduled tasks inzetten;
- communiceren via DoH en DNS TXT-logica combineren met Telegram-downloads.
Als je het breder bekijkt, past dit patroon in een trend waarin malware “normaal” oogt door gebruik te maken van vertrouwde platforms en namen. Dat maakt awareness en technische controle tegelijk belangrijk.
Wat je nu kunt doen (praktisch en meteen)
Omdat dit type aanval gericht is op misbruik van downloadbare “apps”, zijn maatregelen aan meerdere kanten zinvol:
- Beperk downloads van niet-vertrouwde bronnen en voorkom dat werknemers of systemen direct ZIP’s uit openbare hosting openen.
- Controleer de keten: let op situaties waarin een ondertekend executable ineens een eigen DLL-pad of zijwaartse DLL-lading veroorzaakt.
- Monitor persistente mechanismen zoals scheduled tasks die onverwacht door applicaties worden aangemaakt.
- Herken injector/loader gedrag: injectie in svchost.exe is een sterke indicator dat er iets mis is.
- Werk beveiligingsproducten bij en stem detectieregels af op DLL sideloading, DoH/DNS TXT patronen en verdachte kidnap van uitvoerbare ketens.
Wil je inspiratie voor detectie- of afweermaatregelen rond AI-gerelateerde dreigingen? Lees ook Infisical Agent Vault: veiliger secrets voor AI-agents, of bekijk hoe rollen en SOC-workflows veranderen met AI in Threat Operator: AI verandert SOC-rollen en carrières.
Waarom dit soort fake ChatGPT-apps zo effectief kan zijn
De Yoba-campagne laat zien hoe aanvallers meerdere defensies tegelijk proberen te omzeilen. Door legitieme, ondertekende componenten te gebruiken als “verpakking” en hun eigen DLL’s te laten laden via een keten die op DLL-sideloading leunt, lijkt de uitvoering in eerste instantie minder verdacht.
Daarbovenop maken de anti-analyse filters en het gebruik van DoH/DGA de aanval minder zichtbaar tijdens snelle triage. En doordat de download zich verstopt achter thema’s die nu veel aandacht krijgen (AI-desktoptools), wordt het risico op onbedoelde installaties groter.
Conclusie
Fake ChatGPT-apps zijn in deze campagne geen simpele nepdownloads, maar onderdeel van een technisch uitgewerkte malwareketen. Met DLL-sideloading, omgevingschecks en een C2-aanpak via Telegram en DNS-over-HTTPS wordt uiteindelijk een crypto-miner (Yoba/XMRig) op de pc geplaatst.
Door streng te zijn op downloads, persistente taken te monitoren en verdachte DLL-ketens en injecties in processen zoals svchost.exe te detecteren, kun je de kans op succesvolle infecties aanzienlijk verkleinen. Actie nu is vooral belangrijk omdat dit soort pakketten vaak breed worden aangeboden en snel worden opgepikt door geïnteresseerde gebruikers.
Bron: https://thehackernews.com/2026/10/fake-chatgpt-and-claude-apps-abuse.html
