Malware Yoba Menyamar Jadi Aplikasi ChatGPT dan Claude di GitHub
Check Point Research membongkar Yoba, kampanye malware yang menyamar sebagai aplikasi desktop ChatGPT dan Claude lewat proyek GitHub palsu. Laporan yang terbit pada 27 Oktober 2026 itu menemukan file instalasi resmi bertanda tangan digital OpenAI dan Anthropic dipakai untuk memuat malware, dengan muatan akhir penambang kripto XMRig 6.26.0. Kasus ini menunjukkan bahwa rasa penasaran pengguna terhadap model AI terbaru kini menjadi pintu masuk serangan, padahal platform AI-nya sendiri tidak dibobol.
Bagaimana Malware Yoba Menyamar Jadi Aplikasi ChatGPT dan Claude?
Yoba menyamar lewat proyek GitHub dan situs GitHub Pages yang menawarkan aplikasi desktop fiktif bernama GPT-5.6 Sol, GPT-6 Astra, dan Claude Opus. Tombol unduhnya mengarah ke file ZIP di halaman rilis GitHub. Isinya file instalasi asli bertanda tangan OpenAI atau Anthropic, ditemani satu file DLL berbahaya bernama winmm.dll.
Menurut Check Point Research (2026), repositori pertama dibuat pada 16 Juli 2026. Paket sol-setup.zip diunggah pada 30 Agustus 2026, Setup-Claude.zip pada 31 Agustus 2026, dan GPT-6-Astra-Setup.zip pada 4 September 2026. Peneliti memantau kampanye ini selama dua bulan terakhir, sementara versi awal dropper-nya sudah muncul pada awal Juni 2026 dengan memanfaatkan file Cursor.exe.
Repositori palsu itu tidak memakai bintang atau fork buatan untuk terlihat populer. Meski begitu, halamannya tampil menonjol di hasil pencarian Google. Check Point menilai pola ini konsisten dengan SEO poisoning, yaitu teknik menyusun judul, deskripsi, dan domain agar halaman berbahaya muncul tepat di depan orang yang sedang mencari aplikasi AI baru.
Kenapa Tanda Tangan Digital Resmi Tidak Menjamin Aman?
Tanda tangan digital hanya menjamin keaslian satu file program, bukan seluruh isi paket yang menyertainya. Pada kasus Yoba, file Setup.exe resmi OpenAI dan Anthropic dijalankan korban, lalu program sah itu otomatis memuat winmm.dll palsu dari folder yang sama. Teknik lama ini dikenal sebagai DLL sideloading.
Check Point menegaskan riset mereka tidak menunjukkan ChatGPT, Claude, OpenAI, atau Anthropic dibobol. "The campaign shows how the rush to access new AI tools is creating opportunities for social engineering, even when the AI platforms themselves have not been compromised," tulis Eli Smadja dalam blog resmi Check Point Software pada 27 Oktober 2026.
Daniel Zimmermann dari Gridinsoft menyoroti hal serupa dalam ulasannya. "A genuine software signature helped a fake AI installer look trustworthy while the file beside it did the damage," tulisnya. Artinya, antivirus dan pengguna yang hanya melihat nama penerbit pada tanda tangan digital bisa salah menyimpulkan bahwa seluruh paket instalasi itu aman.
Apa yang Dilakukan Yoba Setelah Masuk ke Komputer?
Setelah masuk, Yoba memasang loader permanen, mengambil perintah dari jalur yang sulit diblokir, lalu menjalankan penambang kripto XMRig lewat jaringan Tor. Dropper-nya hanya jalan jika dibuka sebagai Setup.exe dengan hak administrator, dan sengaja melewati komputer berbahasa Rusia serta sejumlah bahasa negara bekas Uni Soviet.
Menurut Check Point Research (2026), dropper membuat folder %ProgramData%\WMProcess dan scheduled task berlabel Microsoft Corporation yang aktif tiga menit setelah komputer menyala dengan hak Local System. Untuk mengecoh sandbox, versi ini menunggu sekitar 12,73 hari jika dijalankan di luar Setup.exe. Label palsu itu membuat tugas berbahaya tampak seperti komponen Windows Media Player.
Loader-nya membaca 50 byte terakhir foto profil kanal Telegram yoba_fanclub untuk menyusun nama domain, lalu menanyakan record TXT domain itu lewat DNS-over-HTTPS Google. Perintah yang diterima diverifikasi dengan tanda tangan Ed25519, didekripsi dengan AES, lalu muatan diunduh dari layanan berbagi file Catbox. Penambang XMRig berhenti saat pengguna aktif dan kembali bekerja setelah komputer diam 240 detik.
Check Point mengingatkan bahwa YobaLoader adalah loader generik. Selain penambang kripto, loader ini bisa mengirim file EXE lain atau skrip PowerShell. Karena itu, infeksi Yoba sebaiknya diperlakukan sebagai pembobolan sistem yang lebih luas, bukan sekadar gangguan performa akibat penambangan kripto.
Dampaknya bagi Perusahaan dan Pengguna AI di Indonesia
Bagi perusahaan, pelajaran utamanya adalah memastikan aplikasi AI hanya diunduh dari situs resmi vendor dan membatasi hak administrator karyawan. Pengguna yang memburu nama model terbaru di mesin pencari adalah sasaran empuk, apalagi ketika banyak tim teknis mencoba aplikasi desktop AI baru setiap pekan.
Check Point menyarankan tim keamanan mengendalikan aplikasi yang boleh berjalan, memeriksa unduhan, serta memantau lalu lintas command and control setelah eksekusi. Cyber Security News (2026) menambahkan tanda yang perlu diawasi: program bertanda tangan yang memuat DLL dari folder pengguna, scheduled task asing berlabel Microsoft, dan lalu lintas DNS-over-HTTPS yang tidak biasa.
Bagi perusahaan dan pengembang di Indonesia, risikonya nyata karena bahasa Indonesia tidak termasuk daftar bahasa yang dilewati Yoba. Jika loader ini kelak mengirim pencuri data dan data pelanggan bocor, Pasal 46 ayat (1) UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data memberi tahu subjek data dan lembaga secara tertulis paling lambat 3 x 24 jam.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Keamanan AI
🛡️ File AGENTS.md di Folder Downloads Bisa Bajak Codex dan Claude Code
🚫 Microsoft Ungkap SesameOp: Malware Eksploitasi OpenAI API sebagai C2
⚔️ Polisi Seoul Tangkap 7 Pelaku Peretasan Berbantu AI di 90 Organisasi
🤖 Cohere Temukan Model Qwen Alibaba Coba Unggah File ke Server Beijing
Sumber dan Referensi
[1] Yoba Malware Abuses Signed ChatGPT and Claude Binaries to Target AI Users - Check Point Software
[2] Tricks from the Past deployed via signed ChatGPT and Claude binaries - Check Point Research
[4] Yoba Fake AI Installers Hide a Miner Behind Signed Apps - Gridinsoft
[5] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK