Check Point descubrió una campaña que explota la confianza en OpenAI y Anthropic mediante repositorios falsos que simulan aplicaciones de escritorio de IA
Investigadores de Check Point Research identificaron una campaña de distribución de malware que aprovecha la popularidad de herramientas de inteligencia artificial para comprometer sistemas mediante repositorios falsos en GitHub. Los atacantes crearon proyectos que simulan ser aplicaciones de escritorio de ChatGPT y Claude — específicamente GPT-5.6 Sol, GPT-6 Astra y Claude Opus — y lograron posicionarlos entre los primeros resultados de búsqueda en Google mediante técnicas de envenenamiento SEO. La operación, rastreada por Check Point bajo el nombre Yoba, utiliza ejecutables legítimos firmados por OpenAI y Anthropic como vehículo para cargar componentes maliciosos mediante DLL sideloading, una técnica que permite evadir controles de seguridad al aprovechar la confianza en binarios auténticos.
Cómo los repositorios falsos llegaron a los primeros resultados de Google sin manipular métricas de GitHub
Los repositorios maliciosos fueron creados el 16 de julio de 2026, pero las primeras versiones con malware no se publicaron hasta finales de agosto del mismo año. A diferencia de campañas anteriores que inflan artificialmente las métricas de engagement en GitHub (estrellas, forks), esta operación no manipuló esas estadísticas. En cambio, los atacantes optimizaron títulos, descripciones y dominios de hosting para que los proyectos aparecieran en los primeros resultados de búsqueda externa — específicamente en Google — cuando usuarios buscaban versiones de escritorio de ChatGPT o Claude.
Los archivos ZIP maliciosos se distribuyeron directamente desde la sección de releases de GitHub, sin protección por contraseña. Esta decisión contrasta con la práctica habitual de proteger archivos maliciosos para evitar análisis automatizado: los operadores de Yoba confiaron en técnicas anti-sandbox y anti-análisis integradas en el malware mismo, logrando tasas de detección extremadamente bajas en motores antivirus al momento del descubrimiento. Cada repositorio utilizó una dirección de correo electrónico diferente en Outlook (edwardcarlsonmkym@outlook.com, daxschneiderdjuu@outlook.com, rioprestonlfyx@outlook.com) y timestamps que sugieren operadores trabajando en zonas horarias UTC-4, UTC+4 y UTC+3 — una dispersión que Check Point interpreta como intento deliberado de ocultar la zona horaria real de operación.
La cadena de infección: dos componentes que evitan infraestructura C2 tradicional
El malware se distribuye en dos etapas. El primer componente, YobaDropper, se instala junto a ejecutables legítimos firmados por OpenAI y Anthropic. Esta colocación permite que el dropper se cargue indirectamente mediante DLL sideloading: cuando el usuario ejecuta el binario legítimo, el sistema operativo carga automáticamente la DLL maliciosa ubicada en el mismo directorio, aprovechando la firma digital válida del ejecutable principal para evadir alertas de seguridad.
Una vez activo, YobaDropper despliega YobaLoader, el segundo componente responsable de contactar la infraestructura de los atacantes y descargar la carga útil final. La campaña demuestra un nivel de seguridad operacional superior al promedio: en lugar de utilizar servidores de comando y control dedicados — que pueden ser identificados y bloqueados — los operadores de Yoba utilizan Telegram, Tor, Catbox (servicio de alojamiento de archivos) y DNS over HTTPS para las comunicaciones. Esta arquitectura distribuida dificulta el rastreo y la interrupción de la campaña, ya que cada canal de comunicación puede ser reemplazado sin afectar la operación completa.
Indicadores de origen ruso y exposición en América Latina por dependencia de GitHub como fuente de software
Los indicadores técnicos y operacionales apuntan a un origen ruso de la campaña. Más allá de las zonas horarias de los commits, el patrón de uso de infraestructura — Telegram como canal de comunicación, preferencia por servicios que no requieren verificación de identidad, técnicas de ofuscación consistentes con grupos de habla rusa documentados previamente — refuerza esta atribución. Check Point no vinculó la campaña a un grupo específico conocido, pero el nivel de sofisticación técnica y la disciplina operacional sugieren actores con experiencia previa en distribución de malware.
Para América Latina, la campaña representa un riesgo estructural vinculado a la adopción acelerada de herramientas de IA en la región. Desarrolladores y equipos técnicos en Argentina, Brasil, México y Chile — países con alta penetración de GitHub como fuente de software y bibliotecas — enfrentan exposición directa a este vector de ataque. La confianza en repositorios que aparecen en los primeros resultados de búsqueda, combinada con la ausencia de procesos formales de verificación de fuentes en muchas organizaciones de la región, crea condiciones favorables para que campañas como Yoba logren compromiso inicial. A diferencia de ataques dirigidos a sectores específicos, esta operación apunta a cualquier usuario que busque versiones de escritorio de herramientas de IA — un perfil que incluye tanto desarrolladores individuales como equipos corporativos en toda la región.
Nuestro análisis
Yoba representa una evolución en la explotación de confianza depositada en plataformas legítimas. La campaña no depende de vulnerabilidades técnicas en GitHub, OpenAI o Anthropic — explota la confianza que usuarios depositan en resultados de búsqueda, firmas digitales válidas y la infraestructura de GitHub como indicador de legitimidad. El uso de DLL sideloading con binarios firmados auténticos es particularmente efectivo porque convierte la validación de firma digital — un control de seguridad fundamental — en un vector de evasión: el sistema operativo confía en el ejecutable legítimo y, por extensión, en todo lo que ese ejecutable carga desde su directorio.
La ausencia de infraestructura C2 tradicional marca un patrón que ya observamos en campañas previas de grupos con alta madurez operacional: distribuir las comunicaciones entre servicios comerciales legítimos (Telegram, Tor, DNS over HTTPS) complica tanto la detección como la respuesta. Para equipos de seguridad en América Latina, esto implica que bloquear dominios o direcciones IP específicas no neutraliza la amenaza — la campaña puede continuar operando mediante canales alternativos sin modificar el malware ya instalado. Lo que todavía no se sabe es si los operadores de Yoba están distribuyendo una carga útil específica (ransomware, stealer, troyano bancario) o si la infraestructura funciona como servicio de acceso inicial para múltiples clientes. ¿Cuántas organizaciones en la región ya descargaron estos instaladores antes de que Check Point publicara su análisis y todavía no detectaron el compromiso?