In questo articolo Indice dei contenuti 2 sezioni
Una campagna di malware sta sfruttando la fama di due tra gli assistenti basati sull’intelligenza artificiale più conosciuti, ChatGPT e Claude, per infettare i computer con sistema operativo Windows. Il trucco è tanto banale quanto efficace. Chi cerca una versione installabile di questi strumenti rischia di ritrovarsi tra le mani un pacchetto contraffatto che, dietro un aspetto del tutto ordinario, nasconde un software malevolo chiamato Yoba.
Il richiamo di questi nomi è evidentemente molto forte e i criminali informatici lo sanno bene. Usare marchi così noti come esca significa abbassare la guardia delle potenziali vittime, che pensano di scaricare un programma affidabile e invece aprono la porta a un’infezione. Non si tratta di un semplice file sospetto con un nome qualsiasi. L’operazione è costruita con una certa cura e mette insieme più tecniche per risultare credibile agli occhi di chi la incontra.
Come funzionano i falsi installer di ChatGPT e Claude
Il primo tassello della trappola sono i repository GitHub fraudolenti. GitHub è la piattaforma su cui sviluppatori di tutto il mondo condividono codice e progetti, ed è proprio questa reputazione a renderla un terreno appetibile per chi vuole ingannare gli utenti. Un archivio che sembra legittimo, ospitato su un servizio così diffuso, ispira istintivamente fiducia. Ed è lì che vengono piazzati i finti programmi di installazione dei due chatbot.
Il secondo elemento riguarda gli eseguibili firmati digitalmente. La firma digitale serve normalmente a certificare la provenienza di un software e a garantire che non sia stato manomesso. Quando un file risulta firmato, il sistema e spesso anche l’utente tendono a considerarlo sicuro, con meno avvisi e meno sospetti durante l’installazione. Una caratteristica pensata per proteggere finisce così per diventare un lasciapassare nelle mani sbagliate.
Il ruolo del DLL sideloading nella catena d’infezione
Il passaggio più tecnico della campagna è il cosiddetto DLL sideloading. Per capirlo basta sapere che molti programmi Windows, all’avvio, caricano delle librerie esterne, cioè file con estensione DLL che contengono funzioni necessarie al loro funzionamento. Se nella stessa cartella del programma viene collocata una libreria malevola con il nome giusto, l’applicazione legittima la carica senza accorgersi di nulla. In pratica è il software autentico a eseguire, inconsapevolmente, il codice dannoso.
Questa tecnica rende la catena d’infezione particolarmente subdola. Dall’esterno tutto sembra regolare: c’è un eseguibile firmato, c’è un programma che si avvia come previsto, non ci sono segnali evidenti di qualcosa che non va. Nel frattempo però la libreria contraffatta entra in azione e permette al malware di insediarsi nel computer. La combinazione tra repository apparentemente affidabili, file con firma valida e caricamento nascosto delle librerie è proprio ciò che rende l’attacco difficile da individuare a colpo d’occhio.
Il quadro complessivo descrive un’operazione strutturata in più fasi, ciascuna pensata per superare un livello di diffidenza diverso. L’utente viene attirato dal nome di ChatGPT o di Claude, rassicurato dalla presenza su GitHub, tranquillizzato dalla firma digitale dell’eseguibile. L’ultimo anello è affidato alla tecnica di DLL sideloading, attraverso cui i criminali riescono infine a distribuire Yoba sui PC Windows compromessi.
Fonte: TecnoAndroid