网络犯罪分子一直在利用围绕人工智能（AI）技术的热度，通过伪造桌面应用分发加密货币挖矿恶意软件，这些假应用模仿了 ChatGPT 和 Claude 等热门 AI 工具。

网络安全厂商 Check Point Research（CPR）在最近一份报告中表示，威胁行为者一直在搭建伪造的 GitHub 仓库，借此推广名为 GPT-5.6 Sol、GPT-6 Astra 和 Claude Opus 等假 AI 应用。

黑客甚至还建立了专门的 GitHub.io 网站来宣传这些假 AI 应用，并诱骗受害者下载恶意文件。

CPR 研究人员称，攻击者还在利用搜索引擎优化（SEO）手段，让这些恶意网站在谷歌搜索结果中排名靠前。

恶意软件如何运作？

这场攻击活动最令人担忧的地方之一，是攻击者会使用来自 OpenAI 和 Anthropic 的合法软件组件来掩盖恶意行为。

受害者可下载的恶意 ZIP 压缩包中包含合法且经过数字签名的可执行文件，这些合法程序与恶意 DLL 文件捆绑在一起。

一旦受害者运行看似正常的应用程序，恶意 DLL 就会在其不知情的情况下被加载，这要归功于 DLL sideloading 技术。

由于恶意代码依赖合法软件来运行，这使得受害者很难发现攻击。

最终，这次攻击会安装 XMRig——一种加密货币矿工程序，它会悄悄占用受害者的资源为攻击者挖掘数字资产。

有意思的是，当恶意软件察觉到用户活动时，也会停止挖矿，以规避检测。

黑客采用多种手段规避检测

此外，CPR 研究人员还发现，该恶意软件包含多种让安全调查更困难的技术。

例如，如果它发现自己并未在预期的可执行文件下运行，就可能暂停执行很长时间。

在继续感染之前，它还会检查电脑的键盘语言设置。

该活动的首个 GitHub 仓库出现在 2026 年 7 月，恶意下载则在 8 月底开始出现。

目前，这些载荷是加密货币矿工，但研究人员警告称，YobaLoader 未来也可能被用于投放其他类型的恶意软件。