Зловмисники розгорнули кампанію Yoba, створюючи підроблені репозиторії на GitHub під виглядом офіційних десктопних додатків для штучного інтелекту. Завантажені архіви містять легітимні підписані файли та шкідливі бібліотеки, які завантажують приховане шкідливе ПЗ через заміну динамічних бібліотек.

У процесі інсталяції шкідливий код перевіряє мовні налаштування системи, зв’язується з Telegram-каналом для генерації доменів та завантажує приховані компоненти. У фіналі на зараженому комп’ютері запускається прихований майнер для видобутку криптовалюти XMRig.