Кампания Yoba распространяет вредоносное ПО через репозитории GitHub и GitHub Pages, маскируя его под настольные приложения ChatGPT и Claude. Оптимизированные для поисковых систем страницы ведут на ZIP-архивы с легитимными подписанными исполняемыми файлами OpenAI или Anthropic и вредоносной DLL. Когда пользователь запускает исполняемый файл, загружается вредоносная библиотека. В кампании применяют YobaDropper, который сохраняется под именем winmm.dll и содержит встроенный YobaLoader. При развёртывании загрузчик получает имя wmpdui.dll. YobaDropper проверяет имя хост-процесса: хеширует имя исполняемого файла алгоритмом DJB2 и сопоставляет результат с ожидаемым значением для Setup...