Фальшивый ИИ, настоящий майнер

Киберпреступники снова используют интерес к искусственному интеллекту, чтобы заражать компьютеры вредоносными программами и зарабатывать на чужих ресурсах. В новой кампании они выдают вредоносные файлы за приложения популярных ИИ-сервисов и продвигают их в поиске Google.

Кампанию обнаружили специалисты Check Point Research (CPR), которые наблюдали за ней около двух месяцев. По их данным, неизвестные злоумышленники создали поддельные загружаемые программы под названиями GPT-5.6 Sol, GPT-6 Astra и Claude Opus и разместили их на GitHub — популярной платформе для хранения и распространения программного кода.

Обычно мошенники, размещая поддельное ПО на GitHub, стараются придать страницам видимость популярности: искусственно увеличивают число загрузок, накручивают отметки «звезда» и копии проектов, публикуют поддельные комментарии. В этой кампании они не стали оформлять страницы таким образом. Вместо этого злоумышленники использовали отравление поисковой выдачи — манипуляции, из-за которых нужные им страницы появляются высоко в результатах поиска.

По оценке CPR, поддельные страницы показывались в самом верху Google по некоторым запросам. Для продвижения преступники могли массово размещать в интернете статьи, записи в блогах и публикации в социальных сетях со ссылками на страницы GitHub. Когда на страницу ведёт много ссылок, поисковая система может счесть её востребованной и поднять выше. Кроме того, злоумышленники создали отдельные сайты GitHub с описаниями приложений и ссылками на установочные файлы.

Отравление поисковой выдачи применялось и до бума искусственного интеллекта, но теперь такие кампании стало дешевле масштабировать: ИИ способен быстро создавать множество текстов. Их качество часто низкое, а Google пытается выявлять и помечать спам, однако эта борьба продолжается.

Пользователь, скачавший и запустивший файл, рассчитывает получить отдельное приложение для работы с ИИ. На деле устанавливается вредоносная программа Yoba. Она закрепляется в системе так, чтобы запускаться автоматически после перезагрузки компьютера, и маскируется под легитимное ПО для Windows, поэтому обычному пользователю её может быть трудно заметить.

Yoba проверяет устройство, в частности пытается определить, не запущена ли программа в изолированной среде для анализа вредоносного ПО и не принадлежит ли компьютер пользователю из страны, которую авторы считают «дружественной». Вредоносная программа может отложить запуск на две недели, затрудняя исследование. Также она проверяет раскладку клавиатуры, чтобы не заражать компьютеры в России, Беларуси, Казахстане и Узбекистане. CPR не установила, откуда действуют злоумышленники, но такой фильтр может быть подсказкой.

Затем Yoba связывается с командным сервером — компьютером, с которого преступники управляют заражением, — и загружает основную вредоносную программу. В принципе, это может быть что угодно, от похитителя данных до шифровальщика. Сейчас, по данным CPR, устанавливается XMRig.

XMRig — легальная программа с открытым исходным кодом для майнинга криптовалюты Monero. Майнинг означает использование вычислительных мощностей компьютера для создания новых монет. Но преступники могут тайно установить программу на множество чужих устройств и добывать криптовалюту за счёт их процессоров, электричества и подключения к интернету.

Monero особенно привлекает злоумышленников: эта криптовалюта ориентирована на конфиденциальность, поэтому её транзакции сложнее отслеживать, чем операции с Bitcoin или Ethereum. В результате преступники получают добытые монеты, а владельцам заражённых компьютеров достаются повышенная нагрузка на устройства и растущие счета за электричество.