Un nom connu, un dépôt GitHub et un exécutable signé : trois indices rassurants qui peuvent être réunis dans un téléchargement malveillant. Check Point Research décrit une campagne baptisée Yoba, dans laquelle de faux logiciels ChatGPT et Claude utilisent des composants légitimes pour charger du code ajouté par les attaquants. La signature d’un exécutable ne certifie pas l’ensemble du paquet téléchargé.
Le piège se trouve à côté du programme légitime
L’enquête publiée le 27 octobre remonte à de faux projets GitHub se présentant comme des applications IA pour ordinateur. Les attaquants distribuent une archive qui contient un exécutable légitime signé et un composant malveillant placé à ses côtés.
Le mécanisme, appelé chargement latéral de DLL, consiste à faire charger ce composant par le programme légitime. Le fichier authentique sert ainsi de point d’appui au paquet piégé. Il faut donc distinguer deux questions : qui a signé un fichier précis, et qui a assemblé puis publié l’archive que l’on s’apprête à lancer.
Héberger un fichier sur GitHub ne prouve pas son origine
Check Point relève aussi des pages de présentation renvoyant vers les téléchargements. Dans la chaîne analysée, les composants YobaDropper et YobaLoader servent à installer puis récupérer une charge supplémentaire. Les chercheurs ont observé un mineur de cryptomonnaie, mais soulignent que le chargeur peut distribuer d’autres logiciels malveillants.
Pour télécharger une application IA, le chemin le plus sûr consiste à partir du site de l’éditeur et à suivre son lien vers la bonne boutique ou le bon programme. Un dépôt trouvé via un moteur de recherche peut employer un nom de produit connu sans appartenir à son fabricant. Le logo et le titre du projet ne répondent pas à la question de son propriétaire.
Un avertissement de sécurité n’est pas un obstacle à contourner
Méfiez-vous d’un tutoriel qui demande de couper la protection du système pour installer une prétendue version gratuite ou débloquée. Ne lancez pas non plus une archive douteuse simplement pour vérifier si elle fonctionne. Si elle a déjà été exécutée, une désinstallation ordinaire ne permet pas, à elle seule, de conclure que l’incident est terminé.
Sur un ordinateur professionnel, prévenez l’équipe informatique en conservant le nom du téléchargement et son origine. Sur un appareil personnel, passez par les outils de sécurité du système et l’assistance officielle des services concernés. Le problème décrit ici ne vient pas des applications officielles de ChatGPT ou de Claude : il vient de paquets qui usurpent leur identité.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
