假 ChatGPT 桌面端在 GitHub 投毒 我照 IOC 查了本机五项

昨天翻 Check Point 那份 10 月 27 日的报告，标题里写着用 OpenAI 和 Anthropic 的真签名程序当掩护。我第一反应是又一批"假安装包捆绑"，拼个假证书骗小白。看完整份才明白不是——压缩包里那个 Setup.exe 是货真价实的 OpenAI Codex 或 Claude 安装器，数字签名有效，验签能过。恶意代码是旁边那个 winmm.dll，靠 Windows 的 DLL 搜索顺序被这个真程序自己拉起来。

这点值得先说，因为它推翻了我一直用的省事判据：看签名。



攻击者开了几个假 GitHub 项目，冒充 GPT-5.6 Sol、GPT-6 Astra、Claude Opus 这类"桌面版"，还配了 github.io 页面介绍功能。仓库本身没刷星，靠 SEO 把 Google 结果页顶上去。最早那个仓库的第一次提交是 2026-07-16，恶意的 ZIP release 在 8 月 30 日到 9 月 4 日之间上传。

ZIP 解开就两样东西最关键：真签名的 Setup.exe，和一个恶意的 winmm.dll，后者代号 YobaDropper。

Dropper 有几个细节我记下来了。它对自己宿主程序的名字做哈希校验，必须等于 0xE6C2F326，换句话说只有被 Setup.exe 拉起来才干活，单独丢沙箱里跑不启。它做了 200,000 次 Sleep(5500)，折合约 12.73 天，把自动化分析熬死。键盘布局是俄语、白俄罗斯语、塔吉克语、亚美尼亚语、阿塞拜疆语、格鲁吉亚语、哈萨克语、吉尔吉斯语、土库曼语、乌兹别克语的机器直接不感染，鞑靼语也在排除名单里；乌克兰语这次不在排除名单上，报告专门点了这一句。

拿到管理员权限之后，它把 system32 里的 wmpdmc.exe 复制到 ProgramData 下一个新建的 WMProcess 目录，旁边放一个 wmpdui.dll，再注册一个计划任务，作者写 Microsoft Corporation，描述写成 Windows Media Player 相关，开机三分钟后以 Local System 跑。

wmpdui.dll 就是第二阶段 YobaLoader，它同样做宿主校验，哈希得等于 0x552751E3，也就是必须由 wmpdmc.exe 加载。

回连方式比木马本身更值得看。YobaLoader 不连固定 C2，它去 t.me/yoba_fanclub 这个 Telegram 频道取头像，拿最后 50 字节当种子，用三组词表加一个 0 到 999 的整数拼出域名，格式是 形容词-名词-动词-数字.dedyn.io。然后用 Google 的 DoH 接口查这个域名的 TXT 记录，拿到 Base64 的指令，解密后是一个 files.catbox.moe 的下载链接。

意思是换域名只要换头像。封一个域名没用，被动 DNS 也看不到明文查询。这一段的 IOC 我抄下来了，但真正能落地的判据不是域名，而是行为：一个正常软件不会为了取配置去读 Telegram 频道的头像。

这轮的最终载荷是 XMRig，注入 svchost，挖矿流量走 Tor，用户在用电脑时暂停。报告里专门提醒了一句：loader 能执行任意 exe 和 PowerShell 脚本，所以别把这事当"挖矿"处理，删掉 XMRig 不等于清干净。

我一开始想直接按文件名扫，找 wmpdmc.exe、找 wmpdui.dll。跑之前先看了一眼系统目录，结果这俩在 C:\Windows\System32 里本来就有——这台机器上 wmpdui.dll 是 373,248 字节，版本 12.0.19041.4522，签名 Microsoft Corporation。所以按文件名扫会把自己机器报成中招。这是第二个误判。

改成按路径和注册项查。这台 Windows 10 22H2，PowerShell 5.1，五项都是系统自带命令，回显原样贴：

Test-Path "$envrogramData\WMProcess"
False

(Get-ChildItem "$envrogramData" -Filter "WM*" | Measure-Object).Count
0

(Get-Process wmpdmc | Measure-Object).Count
0

Get-ScheduledTask | Where-Object { $_.TaskName -match "Media|WMP|Player" } 的结果只有一条：
\Microsoft\Windows\Management\Autopilot\RemediateHardwareChange | Disabled

(Get-ScheduledTask).Count
157

Get-DnsClientCache 里 Entry 含 dedyn 的命中数：0，缓存总条目 19。

五项结论：WMProcess 目录不存在，ProgramData 下没有 WM 开头的目录，wmpdmc 进程 0 个，计划任务里只有一条 Autopilot 自带的、状态是 Disabled，DNS 缓存里没有 dedyn.io 的痕迹。这台机器是干净的。

计划任务那条判据不能只看名字。我原本以为"名字里带 Media Player 的计划任务"就是判据，实际跑出来只有一条 Autopilot 的硬件变更修复任务，还是禁用状态——这条判据在干净机器上也会命中，属于误报源。

真正该核的是三样叠一起：任务的动作指向 ProgramData 下的某个目录、执行的是从系统目录复制过去的白程序（wmpdmc.exe 这类）、触发方式是开机后固定分钟数。单看任何一条都不够。

处置上我给自己记了几条。不要从搜索结果页装"AI 桌面端"，OpenAI 和 Anthropic 的桌面程序只从官网下，GitHub 上第三方仓库的 release 不算官方渠道。签名只保证那一个 exe 的完整性和签名者，不保证同目录的 dll，DLL 侧加载绕的就是这个空子。应用白名单要管到 DLL 层，只放行签名 exe 不够。EDR 上把"新出现的 ProgramData 子目录 + 系统程序被复制进该目录 + 三分钟后启动的计划任务"做成关联规则，比单看进程名有效。真在自己机器上找到 WMProcess 目录，不要只删 XMRig，按报告的判断应当视为整体失陷，隔离、查执行历史，必要时重装。

我这边五项都过，唯一的收获是把"看签名"和"看文件名"这两个偷懒判据废掉了。

来源：
1. Check Point Research，Tricks from the Past deployed via signed ChatGPT and Claude binaries，2026-10-27
https://research.checkpoint.com/2026/tricks-from-the-past-deployed-via-signed-chatgpt-and-claude-binaries/
2. The Hacker News，Fake ChatGPT and Claude Apps Abuse Signed Executables to Deploy Crypto Miners，2026-10
https://thehackernews.com/2026/10/fake-chatgpt-and-claude-apps-abuse.html
3. eSecurity Planet，Hackers Use Fake ChatGPT and Claude Downloads on GitHub to Spread Malware，2026-10-27
https://www.esecurityplanet.com/news/news-chatgpt-claude-github-malware/
4. 本机 PowerShell 5.1 回显，Windows 10 22H2，2026-10-30 执行

补充一句交叉核对的结论：哈希 0xE6C2F326 与 0x552751E3、频道 t.me/yoba_fanclub、WMProcess 目录、wmpdmc.exe 与 wmpdui.dll 的配对关系、12.73 天的睡眠、dedyn.io 的 DGA 格式，这三家来源逐项一致，没有互相矛盾的地方。

HKTULU
2026-10-30