网络犯罪团伙利用假 AI 客户端与 SEO 投毒传播恶意软件
- 攻击者通过搜索引擎优化（SEO）中毒的 GitHub 页面及伪造的人工智能客户端，诱导用户下载恶意程序。
- 名为 Yoba 的恶意软件具备持久化驻留、反分析能力，并最终部署 XMRig 加密货币挖矿程序。
- 该活动主要针对对 GPT、Claude 等热门 AI 工具感兴趣的用户群体。
网络犯罪分子正再次利用公众对人工智能工具的热情作为分发恶意载荷和窃取资源的渠道。据 Check Point Research (CPR) 的安全专家披露，他们在过去两个月内追踪到一项新的攻击活动。匿名攻击者创建了多个虚假的可下载客户端，名称包括 GPT-5.6 Sol、GPT-6 Astra 以及 Claude Opus，并将这些文件托管在 GitHub 上。
通常情况下，威胁行为者在伪造合法软件并通过 GitHub 传播时，会采取多种手段伪装真实性，例如人为刷高下载量、使用机器人增加 Star 数或 Fork 数，以及发布虚假评论，以降低受害者的警惕性。然而，在本次活动中，攻击者并未在 GitHub 页面上进行此类常规操作，但 CPR 指出，这些页面依然出现在了 Google 搜索结果的前列。
SEO 投毒机制
这一现象源于一种被称为“SEO 投毒”的技术。犯罪分子在暗网上批量购买数百甚至数千篇文章、博客帖子及社交媒体内容。每个帖子中都包含指向目标 GitHub 页面的链接，向 Google 算法传递信号，表明该页面具有较高热度且与特定关键词高度相关。
基于此信号，Google 将这些页面提升至搜索结果顶部，无意中帮助攻击者更高效地触达潜在受害者。此外，攻击者还建立了独立的 GitHub Pages 网站作为应用描述页面，并直接链接至可执行安装文件。尽管 SEO 投毒技术在 AI 兴起前就已存在，且 Google 一直在努力将其识别为垃圾信息，但该问题目前仍未得到彻底解决。
当受害者访问这些 GitHub 页面并下载可执行文件时，他们误以为获取的是独立的 AI 工具客户端，实际上却感染了名为 Yoba 的恶意软件。
Yoba 恶意软件的行为特征
一旦运行，Yoba 会通过创建特定机制在系统中建立持久性驻留。由于其在外观和行为上模仿合法的 Windows 软件，普通计算机用户很难察觉异常。
随后，Yoba 会对宿主设备进行环境检查，以确认是否处于沙箱环境中，并检测是否位于受保护的地理区域。为了增加分析难度，该恶意软件可能会故意延迟执行长达两周。同时，它会检查键盘布局，避免感染来自俄罗斯、白俄罗斯、哈萨克斯坦和乌兹别克斯坦的系统。这种地域过滤机制往往是识别此类攻击的重要线索。
XMRig 挖矿程序的部署
恶意软件的最终步骤是连接命令与控制（C2）服务器并获取最终载荷。虽然该载荷理论上可以是信息窃取器或勒索软件加密器等任意类型，但 CPR 表示，当前主要用途是部署 XMRig。
XMRig 是一款完全合法的开源程序，专门用于挖掘 Monero（门罗币）。由于 Monero 被设计为“隐私优先”的代币，其交易记录不像比特币或以太坊那样易于在区块链上追踪，因此深受网络犯罪分子青睐。挖矿过程需要大量的计算资源和电力支持，攻击者通过在无数受害设备上植入 XMRig，能够隐蔽地生成大量加密货币收益。
