Atacatorii au folosit proiecte și pagini GitHub false, optimizate pentru a apărea sus în rezultatele Google, pentru a atrage utilizatori către aplicații desktop false care pretind că sunt pentru ChatGPT sau Claude. Descărcările combină instalatoare autentice, semnate de OpenAI sau Anthropic, cu o DLL malițioasă. Campania, numită Yoba, folosește încărcătoare malițioase și poate instala mineri de criptomonede; un raport al Check Point a identificat XMRig. Malware-ul este descris ca având capacitatea de a se menține pe sistem și de a evita analiza, iar încărcătorul poate livra și alte tipuri de malware. Check Point Research a urmărit campania timp de două luni.