Cuidado ao baixar o ChatGPT ou Claude: versões falsas estão espalhando malware

Pesquisadores de segurança identificaram uma campanha que utiliza versões falsas dos aplicativos ChatGPT e Claude para infectar computadores com Windows. Os arquivos maliciosos são distribuídos por meio do GitHub e chegaram a aparecer entre os primeiros resultados de pesquisa do Google, aumentando as chances de usuários baixarem o conteúdo acreditando se tratar de programas oficiais.

A descoberta foi detalhada pela Check Point Research em um relatório publicado em 27 de outubro de 2026. Batizada de Yoba, a campanha está sendo monitorada há aproximadamente dois meses e utiliza nomes como GPT-5.6 Sol, GPT-6 Astra e Claude Opus para atrair vítimas.

Segundo os pesquisadores, os criminosos criaram repositórios e páginas no GitHub que imitavam projetos legítimos.  Para alcançar usuários pelo Google, provavelmente recorreram ao chamado SEO poisoning, técnica que manipula a visibilidade de páginas maliciosas nos mecanismos de busca.

Malware utiliza instaladores legítimos para enganar o Windows

O principal diferencial da campanha está na forma como os arquivos são distribuídos. Em vez de disponibilizar apenas programas falsificados, os criminosos incluem executáveis legítimos da OpenAI e da Anthropic, com assinaturas digitais válidas.

Os pacotes são oferecidos em arquivos ZIP que contêm um instalador chamado Setup.exe, acompanhado de uma biblioteca maliciosa identificada como winmm.dll. Quando o executável legítimo é iniciado, ele carrega a biblioteca adulterada presente na mesma pasta, permitindo a execução do código malicioso. A técnica é conhecida como DLL sideloading.

O problema é que a assinatura digital confirma a origem do executável, mas não garante que todos os arquivos presentes no pacote sejam seguros. A própria Microsoft documenta esse tipo de ataque como um risco associado ao carregamento de bibliotecas DLL. Depois de executado, o malware solicita privilégios de administrador e cria uma pasta chamada WMProcess no diretório ProgramData do Windows.

Em seguida, utiliza um componente legítimo associado ao Windows Media Player para executar outra biblioteca maliciosa. Uma tarefa agendada permite que a ameaça volte a funcionar automaticamente após a reinicialização do computador.

Vírus minera criptomoedas e pode esconder outras ameaças

Durante a investigação, a Check Point identificou o XMRig, um programa utilizado para mineração de criptomoedas, como a carga maliciosa final. A ameaça utiliza recursos de processamento do computador para minerar criptomoedas sem autorização do proprietário. Para dificultar sua identificação, o programa interrompe a mineração quando detecta atividade do usuário, retomando-a após um período de inatividade.

O sistema também utiliza Telegram, consultas DNS criptografadas e a rede Tor para obter instruções e ocultar parte de suas comunicações. Embora os pesquisadores tenham observado um minerador, o componente responsável por baixar os arquivos maliciosos pode distribuir outras ameaças, incluindo programas de roubo de informações e ferramentas de acesso remoto.

Outro detalhe curioso é que o malware evita infectar computadores configurados com determinados layouts de teclado utilizados na Rússia e em outros países da Comunidade dos Estados Independentes, mas não exclui a Ucrânia. A investigação também identificou uma versão anterior da campanha, observada em junho de 2026, que utilizava o nome do Cursor, ferramenta de programação com inteligência artificial.

Como evitar a infecção?

A recomendação é baixar aplicativos exclusivamente por canais oficiais. Usuários que executaram algum dos instaladores suspeitos devem desconectar o computador da internet, realizar uma verificação completa com um antivírus atualizado e procurar sinais da ameaça na pasta ProgramData\WMProcess.

A campanha não demonstra que os serviços oficiais da OpenAI ou da Anthropic tenham sido comprometidos. O ataque explora principalmente a confiança dos usuários em marcas conhecidas, assinaturas digitais e plataformas legítimas de distribuição.

Fonte: Notebookcheck