Yapay zekâ araçlarına olan ilgi, siber saldırganlar için de yeni bir yem hâline geldi. Güvenlik şirketi Check Point, yaklaşık iki aydır takip ettiği ve “Yoba” adını verdiği bir kampanyayı ortaya çıkardı. Kampanyada saldırganlar, GitHub’da ChatGPT ve Claude’un masaüstü sürümleri gibi görünen sahte projeler yayımlıyor ve bunları indirenlerin bilgisayarlarına gizlice kripto para madencisi kuruyor.
“GPT-6 Astra” ve “Claude Opus” adlı sahte uygulamalar
Check Point’e göre saldırgan, GitHub’da depolar ve GitHub.io sayfaları oluşturarak “GPT-5.6 Sol”, “GPT-6 Astra” ve “Claude Opus” gibi isimler taşıyan sözde masaüstü uygulamaları yayımladı. Zararlı yazılım bu depolarda ZIP arşivleri olarak sunuldu.
İlginç olan, bu depoların GitHub içinde sahte yıldız ya da çatallama gibi yapay popülerlik izleri taşımaması. Buna rağmen Google aramalarında üst sıralarda çıkıyorlar. Araştırmacılar bunun, başlık, açıklama ve alan adlarının arama motorlarına göre özel olarak düzenlendiği arama motoru zehirlemesi (SEO poisoning) yöntemiyle sağlandığını düşünüyor. Yani “ChatGPT masaüstü indir” gibi bir arama yapan kullanıcı, doğrudan tuzağa yönlendirilebiliyor.
Gerçek imzalı dosya, sahte DLL
Kampanyayı tehlikeli kılan, kullandığı gizlenme yöntemi. Her ZIP arşivinin içinde OpenAI ya da Anthropic tarafından imzalanmış gerçek bir kurulum dosyası bulunuyor. Ancak bu dosyanın yanına kötü amaçlı bir DLL dosyası konmuş. Kullanıcı imzalı dosyayı çalıştırdığında Windows, aynı klasördeki bu sahte DLL’i de yüklüyor. Bu tekniğe “DLL yandan yükleme” (DLL sideloading) deniyor ve güvenlik korumalarını atlatmak için sık kullanılıyor.
Check Point, araştırmanın OpenAI, Anthropic, ChatGPT ya da Claude’un ele geçirildiğine dair hiçbir işaret taşımadığını özellikle vurguluyor. Saldırganlar yalnızca bu şirketlerin imzalı dosyalarını ve markalarının güvenilirliğini istismar ediyor.
Komut sunucusu yerine Telegram profil fotoğrafı
Kampanyanın en dikkat çekici yanı, saldırganın kendine ait bir komut ve kontrol sunucusu kullanmaması. Zararlı yazılım yönetici yetkisi aldıktan sonra, her açılıştan üç dakika sonra en yüksek yetkiyle çalışan ve Windows Media Player görevi gibi görünen bir zamanlanmış görev oluşturuyor.
Ardından ikinci aşamadaki yükleyici, Telegram’daki bir kanalın profil fotoğrafını indiriyor ve görüntünün bir bölümünden bir alan adı türetiyor. Saldırgan, yalnızca fotoğrafı değiştirerek yeni bir alan adına geçebiliyor. Yükleyici bu alan adını Google’ın şifreli DNS hizmeti üzerinden sorguluyor, şifreli bir kayıttan indirme bağlantısını çıkarıyor ve asıl yükü yaygın bir dosya paylaşım hizmetinden indiriyor. Bu yöntem, trafiği sıradan kullanıcı trafiğinden ayırt etmeyi zorlaştırıyor ve tek bir sunucuyu engellemeyi etkisiz kılıyor.
Bugün madenci, yarın başka bir şey
Bu kampanyada son aşamada kurulan yazılım, XMRig adlı kripto para madencisi. Madenci bir Windows sürecinin içine yerleşiyor, Tor ağı üzerinden bağlanıyor ve kullanıcı bilgisayarın başındayken fark edilmemek için duraklıyor.
Ancak Check Point asıl tehlikenin madenci değil yükleyici olduğunu söylüyor: Yükleyici, saldırganın gönderdiği herhangi bir programı ya da PowerShell betiğini çalıştırabiliyor. Bu yüzden şirket, Yoba bulaşmış bir bilgisayarın yalnızca madenciden temizlenmesini değil, tamamen ele geçirilmiş kabul edilmesini öneriyor.
Araştırmacılar, zararlının Rusça ve bazı Bağımsız Devletler Topluluğu ülkelerinin klavye düzenine sahip bilgisayarlara bulaşmadığını da tespit etti. Daha önceki bir sürümün Haziran 2026’da Cursor kodlama aracını taklit ettiği görülmüş.
Kendinizi nasıl korursunuz?
- Yapay zekâ uygulamalarını yalnızca şirketlerin resmî sitelerinden ya da resmî uygulama mağazalarından indirin; arama sonuçlarındaki GitHub bağlantılarına güvenmeyin.
- “GPT-6 Astra” gibi duyulmamış ya da resmî olarak açıklanmamış sürüm isimleri taşıyan uygulamalara şüpheyle yaklaşın.
- Bir dosyanın imzalı olması, yanındaki diğer dosyaların da güvenli olduğu anlamına gelmez.
- Bilgisayarınız beklenmedik şekilde yavaşlıyor ya da fanı sürekli çalışıyorsa güvenlik taraması yapın.
- Kurumlarda bilinmeyen kaynaklardan yazılım çalıştırılmasını kısıtlayan politikalar uygulayın.
Yoba kampanyası, yapay zekâ heyecanının siber suçlular için ne kadar verimli bir kılıf olduğunu bir kez daha gösteriyor. Popüler bir aracın “masaüstü sürümü” vaadi, birkaç tıklamayla bilgisayarın kontrolünü kaybetmeye yol açabiliyor.
Kaynak: Check Point Research, Help Net Security
