// CLUBIC — INTELLIGENZA ARTIFICIALE
Vous pensiez télécharger ChatGPT ou Claude ? Des pirates ont glissé un malware dans de faux installateurs
Le fichier d’installation porte bien la signature d’OpenAI ou d’Anthropic, mais l’archive téléchargée depuis de faux dépôts GitHub contient aussi un fichier piégé. Les pirates l’utilisent pour faire miner de la cryptomonnaie à votre ordinateur, à votre insu.
Les pirates de la campagne Yoba ont mis en ligne sur GitHub de faux projets d’applications de bureau pour les derniers modèles d’OpenAI et d’Anthropic. Google affichait certains de ces dépôts en tête de ses résultats, probablement grâce à un empoisonnement du référencement, selon Check Point Research, qui suit la campagne depuis deux mois. Pour tromper les internautes, les pirates ont glissé leur fichier malveillant juste à côté d’un programme d’installation authentique, signé par OpenAI ou Anthropic.
En cherchant GPT-5.6 Sol, des internautes pouvaient par exemple atterrir sur le dépôt gpt-5-6/sol-free-desktop, puis sur la page gpt-5-6.github.io, avec un lien vers une archive ZIP. Les pirates n’ont même pas pris la peine de gonfler la popularité de ces projets avec de fausses étoiles ou de fausses copies sur GitHub.
Un programme Windows a besoin de fichiers DLL au lancement, et ces bibliothèques sont souvent cherchées en premier dans son dossier. Les pirates ont donc déposé un faux fichier winmm.dll à côté du Setup.exe signé. Au lancement de l’installateur, ce fichier piégé est chargé à la place de la bibliothèque multimédia de Windows, et le code des pirates est exécuté sous couvert d’un programme parfaitement légitime. La signature d’un éditeur connu inspire confiance à Windows et à de nombreux antivirus, et les pirates profitent de ce crédit. Les chercheurs de Check Point retrouvent dans cette technique des méthodes de BazarLoader et d’autres familles de logiciels malveillants plus anciennes.
Les pirates épargnent aussi les ordinateurs dont le clavier suit une disposition russe ou celle d’un autre pays de la CEI, à l’exception de l’Ukraine. Les PC configurés en français sont donc exposés. Ils ont ajouté de longues pauses afin d’échapper aux outils d’analyse automatique, et Check Point relève plusieurs indices d’une origine russe.
Une fois le PC infecté, les pirates gardent la main grâce à une tâche planifiée, déguisée en tâche Microsoft et exécutée avec les droits les plus élevés de Windows. Ils se passent de serveur dédié et cachent leurs ordres dans une image publiée sur un canal Telegram et derrière des adresses web générées automatiquement, consultées via le service DNS chiffré de Google.
Au bout de la chaîne, les pirates font tourner le processeur de leurs victimes à leur profit, avec le mineur de cryptomonnaie XMRig, relié au réseau Tor. D’après l’éditeur d’antivirus ESET, ce minage clandestin se remarque à un net ralentissement de l’ordinateur, à sa chaleur et au bruit de son ventilateur. Sur un portable, la batterie peut même gonfler et abîmer l’appareil.
Rien n’empêche toutefois les pirates de remplacer le mineur à tout moment par n’importe quel autre programme ou script PowerShell, et d’installer par exemple un voleur de mots de passe. En mars, d’autres pirates utilisaient de fausses pages d’installation de Claude Code pour dérober les mots de passe et les cookies de session de leurs visiteurs, selon Malwarebytes. Dès début juin, les auteurs de Yoba diffusaient eux aussi une version de leur piège déguisée en agent de programmation Cursor, d’après Infosecurity Magazine.
Si vous cherchez la version de bureau de ChatGPT ou de Claude, passez directement par les sites d’OpenAI et d’Anthropic, sans cliquer sur les résultats de recherche qui renvoient vers GitHub. « Les entreprises devraient se méfier des “assistants IA” issus de dépôts non vérifiés », préviennent les chercheurs de Check Point. Si votre ventilateur souffle fort alors que vous ne faites rien sur votre PC, ouvrez le Gestionnaire des tâches et regardez quels programmes occupent le processeur. Et si vous avez installé une telle application depuis GitHub ces derniers mois, lancez une analyse compl