حملة Yoba: تطبيقات AI مزيفة تستغل التنفيذيات الموقعة لنشر برمجيات تعدين

مقدمة تحليلية

كشفت Check Point Research في 29 أكتوبر 2026 عن تفاصيل حملة "Yoba"، وهي عملية تستهدف المستخدمين عبر تطبيقات سطح مكتب مزيفة للذكاء الاصطناعي، لتوزيع برمجيات تحميل خبيثة وبرامج تعدين للعملات المشفرة. تُقدم هذه التطبيقات الوهمية على أنها نسخ لـ Anthropic Claude و OpenAI ChatGPT، مع أسماء مثل GPT-5.6 Sol، GPT-6 Astra، و Claude Opus. يُنشئ المهاجمون مشاريع وهمية على GitHub، بالإضافة إلى صفحات GitHub.io مصاحبة، لوصف قدرات هذه البرمجيات المزيفة، رغم أنها لا تحتوي إلا على عائلة البرامج الضارة YobaLoader. يتم وضع هذه البرمجيات الخبيثة بجانب ملفات تنفيذية شرعية وموقعة من OpenAI و Anthropic، مما يسمح بتحميلها بشكل غير مباشر.

هذه التقنية، المعروفة باسم DLL sideloading، تُستخدم لتجاوز الحمايات الأمنية الأساسية، وتضمن وصول البرمجيات الضارة إلى الأنظمة المستهدفة دون إثارة شكوك فورية.

التحليل التقني

يعتمد جوهر حملة Yoba على تقنية DLL sideloading، حيث تُستغل ملفات تنفيذية موقعة وشرعية كغطاء لحقن برمجيات خبيثة. تُستضاف هذه البرمجيات داخل أرشيفات ZIP ضمن مستودعات GitHub، وتحتوي بشكل أساسي على مكونين:

• Setup.exe: ملف تنفيذي شرعي وموقع من OpenAI Codex أو Claude.
• winmm.dll: مكتبة ديناميكية (DLL) خبيثة تُحمّل جانبياً بواسطة Setup.exe.

تُعرف `winmm.dll` باسم YobaDropper. تُنفّذ هذه الأداة عمليات تحقق من المجموع الاختباري (checksum) عبر تجزئة اسم الملف التنفيذي المضيف. تتطلب هذه العملية أن يتطابق التجزئة مع القيمة المبرمجة 0xE6C2F326 لـ "Setup.exe"، مما يُفشل تشغيل المكتبة في بيئات الحماية المعزولة إذا نُفّذت بمعزل عن الملف التنفيذي. تشمل تقنيات مكافحة التحليل الإضافية 200,000 تكرار لدالة Sleep(5500) مما يؤخر العملية بمقدار 12.73 يوماً.

علاوة على ذلك، تتخطى العملية الأجهزة التي تتطابق تخطيطات لوحة المفاتيح فيها مع روسيا، بيلاروسيا، طاجيكستان، أرمينيا، أذربيجان، جورجيا، كازاخستان، قيرغيزستان، تركمانستان، أوزبكستان، ولغة التتار. يُلاحظ غياب أوكرانيا من هذه القائمة، وهو تغيير ملحوظ عن الفحص التاريخي لهذه المجموعات.

سلسلة التحميل والتعدين

يُشغّل YobaDropper بدوره سلسلة تحميل جانبي خاصة به تتألف من "wmpdmc.exe" و "ampdui.dll". يقوم بنسخ "wmpdmc.exe" من مجلد system32 الخاص بالنظام ووضعه في دليل جديد باسم "WMProcess" تحت "ProgramData". ثم يستخرج ويفك تشفير حمولة مضمنة ويُسقطها في نفس المجلد باسم "wmpdui.dll". يتم تثبيت الاستمرارية عبر مهمة مجدولة تُطلق الملف التنفيذي الشرعي لتحميل الحمولة الخبيثة.

المكتبة الديناميكية الثانية هي YobaLoader. تنفّذ هذه الأداة نفس تقنية مكافحة بيئات الحماية، حيث تتطلب تشغيلها فقط بواسطة "wmpdmc.exe" عن طريق التحقق من التجزئة مقابل القيمة المبرمجة 0x552751E3. يُعد YobaLoader مسؤولاً عن ثلاث مهام رئيسية:

• تحميل صورة من قناة Telegram: t[.]me/yoba_fanclub.
• استخدام آخر 50 بايت من الصورة كبذرة لتوليد نطاق عبر خوارزمية توليد النطاقات (DGA)، بالاعتماد على ثلاث قوائم من الكلمات القاموسية وقيمة عدد صحيح تتراوح من 0 إلى 999. ينتج عن ذلك نطاق بالصيغة `_صفة_-_اسم_-_فعل_-_رقم_.dedyn[.]io`.
• استعلام Google's DNS-over-HTTPS (DoH) API للحصول على أمر مشفر بـ Base64 من سجل DNS TXT، بتقديم النطاق المُنشأ كمدخل.
• فك تشفير الاستجابة للحصول على رابط لجلب الحمولة التالية: files.catbox[.]moe/z5zpy9.dat.

تُحقن الحمولة التي تم تنزيلها في عملية "svchost.exe"، ما يؤدي إلى تنفيذ عامل تعدين العملات المشفرة XMRig. يعتمد هذا التكتيك على خدمة DoH ومنصات استضافة الملفات الشائعة لتجاوز مراقبة DNS السلبية وحمايات البوابة، مما يجعل حركة مرور القيادة والتحكم (C2) أقل تمييزاً.

السياق وتأثير السوق

تشير الأدلة إلى أن أول مستودع GitHub مرتبط بالحملة أُنشئ في يوليو 2026، بينما لم تُرفع الإصدارات الخبيثة إلا في نهاية أغسطس 2026. الإصدارات المبكرة من YobaLoader استثنت روسيا فقط من العدوى ودمجت فحوصات مكثفة لمكافحة التصحيح والآلات الافتراضية، وهي ميزات أُزيلت في الإصدارات الأحدث، مما يعكس تحسيناً مستمراً في تقنيات التخفي. تُظهر حملة Yoba نمطاً متكرراً في الهجمات السيبرانية التي تستغل الأحداث الجارية والمنتجات الرائجة، لكنها تتميز بتكتيكات متطورة. ففي حين أن الهجمات السابقة ربما اعتمدت على التصيد الاحتيالي التقليدي أو تزييف مواقع الويب أو نشر البرمجيات الضارة عبر "شبكات المحتوى الزائفة"، فإن هذه الحملة تستخدم استراتيجية أكثر تعقيداً بتوظيف ملفات تنفيذية موقّعة من جهات موثوقة مثل OpenAI وAnthropic.

هذا يمنح البرمجيات الخبيثة غطاءً من الشرعية كان من الصعب تحقيقه في حملات سابقة. تستغل الجهات الفاعلة وراء Yoba الثقة بمنصات مثل GitHub ومحركات البحث عبر تكتيكات تسميم SEO لضمان ظهور الروابط المزيفة في نتائج البحث العليا. هذا التكتيك يقلل من احتمالية الاشتباه الأولي لدى المستخدمين أو آليات الفحص الأمني الأساسية. كما أن استخدام عناوين بريد إلكتروني مختلفة (مثل edwardcarlsonmkym[@]outlook[.]com و daxschneiderdjuu[@]outlook[.]com و rioprestonlfyx[@]outlook[.]com) مع مناطق زمنية مختلفة (UTC+4، UTC-4، UTC+3) يؤكد محاولة متعمدة لإخفاء المنطقة الزمنية الحقيقية للمهاجم، ما يدل على مستوى من التنظيم يتجاوز معظم الحملات العشوائية.