Falsos aplicativos de IA estão sendo usados para instalar mineradores de criptomoedas em PCs Windows. ⚠️🧵 A campanha, chamada Yoba, se disfarça de supostas versões desktop de ferramentas como GPT e Claude para atrair downloads.

Imagem indisponível

O alvo é simples: transformar, sem autorização, o computador da vítima em uma máquina de mineração. Esse golpe é conhecido como cryptojacking: o criminoso usa processamento, energia e desempenho alheios para gerar criptoativos.

Como a armadilha chega até você? Os golpistas manipulam resultados do Google com “SEO poisoning” e criam projetos falsos no GitHub. Assim, páginas maliciosas podem aparecer bem posicionadas quando alguém busca uma versão instalável de uma IA.

Imagem indisponível

Importante: a Check Point não identificou invasão do ChatGPT/OpenAI nem do Claude/Anthropic. O ataque explora a confiança nas marcas. Os nomes citados — como “GPT-5.6 Sol” e “GPT-6 Astra” — servem de isca, não de prova de produto oficial.

O truque técnico é o DLL sideloading: o pacote traz um Setup.exe legítimo e assinado, acompanhado de uma biblioteca maliciosa, a winmm.dll. Ao abrir o instalador, o Windows pode carregar também o código do Yoba sem levantar suspeitas imediatas.

Imagem indisponível

Depois, o Yoba tenta permanecer no sistema com tarefas agendadas e evita análises de segurança. Ele ainda usa Telegram, DNS sobre HTTPS do Google e hospedagem no Catbox para mudar sua infraestrutura com agilidade e dificultar o bloqueio.

A lição prática: não baixe “apps desktop” de IA por links achados em buscas ou repositórios desconhecidos. Use canais oficiais, confira o domínio e desconfie de nomes mirabolantes. Em cripto, segurança também é não ceder sua máquina — e sua conta de luz — a terceiros.

Imagem indisponível