Yoba 2026 挖矿攻击技术拆解：签名安装器侧加载到 Tor 隐匿外传
TechNadu · x · 2026-10-28
TechNadu 对 Check Point 披露的「Yoba 2026」攻击活动做了技术拆解：假冒 ChatGPT 与 Claude 桌面应用经 SEO 投毒散布在 GitHub 上。
技术细节
- 合法签名的 Setup.exe 旁放置恶意 winmm.dll，借 DLL 侧加载实现持久化
- 攻击链滥用 Telegram 资料、Google DNS-over-HTTPS 与 Catbox 获取载荷
- 最终把 XMRig 6.26.0 注入 svchost.exe，流量走本地 Tor 代理
与主帖同事件的深度版本，适合想了解完整感染链的读者。
所属事件:假冒ChatGPT与Claude应用借GitHub传播挖矿木马(2 条相关)→
「安全」频道最新
- 实测 23 款浏览器 Agent 指纹：仅 Manus 诚实签名，ChatGPT 已不再署名 — Latter-Mix2317 · 2026-10-28
- 开发者曝 Cursor 账号被入侵:攻击者数日盗刷额度致账单异常 — saheedniyi_02 · 2026-10-28
- 研究员争论 Anthropic 是否应停止用网络攻击数据训练模型 — teortaxesTex · 2026-10-28
- 研究者论前沿实验室必修课：没有顶级网络安全就撑不住训练 run — jd_pressman · 2026-10-28
- 创业公司 Only Then Labs 提案：Agent 的旧批准不能当永久授权 — tallmetommy · 2026-10-28
- Sam Altman 的 World 向银行推销 Orb 虹膜验证，网友吐槽恐怖片既视感 — rschu · 2026-10-28