Gefälschte GitHub-PoC-Repositories verbreiten ChocoPoC-Malware an Sicherheitsforscher

Sicherheitsforscher werden mit bösartigen Python-Repositories für Proofs of Concept angegriffen, die einen datenstehlenden Remote-Access-Trojaner namens ChocoPoC tarnen. Dies geht aus Erkenntnissen von YesWeHack und Sekoia hervor.

Die Kampagne setzt auf einen bekannten Köder: neu offengelegte Schwachstellen. Die Angreifer veröffentlichen GitHub-Repositories, die angeblich Exploit-Code für besonders interessante CVEs enthalten, und verstecken die Malware anschließend in einer Abhängigkeitskette statt im sichtbaren PoC selbst. Dadurch wird es bei einer schnellen Prüfung des Hauptskripts weniger wahrscheinlich, dass die Bedrohung entdeckt wird.

So funktioniert die Infektionskette

Den Forschern zufolge beginnt der Angriff, wenn ein Opfer ein Repository klont und dessen Python-Anforderungen installiert. Dabei wird ein Paket namens frint eingebunden, das wiederum skytext installiert. In skytext befindet sich eine kleine kompilierte Komponente, die aktiviert wird, sobald sie erkennt, dass der eigentliche PoC vorhanden ist. Anschließend entpackt sie die Payload und lädt den Trojaner herunter.

Da der bösartige Code nach Dateien sucht, die mit dem Exploit in Verbindung stehen, bleibt er in isolierten Analyseumgebungen häufig inaktiv. Mit anderen Worten: Das alleinige Ausführen des Pakets löst möglicherweise kein auffälliges Verhalten aus.

Was ChocoPoC kann

Nach der Ausführung verhält sich ChocoPoC wie ein voll ausgestatteter RAT. Die Malware kann Browserpasswörter, Cookies, Autofill-Daten und den Verlauf aus Chrome, Brave, Edge und Firefox sammeln. Außerdem sucht sie nach lokalen Dateien, Notizen, Datenbanken, Shell-Verläufen, Prozessinformationen und Details zur Netzwerkkonfiguration.

• Exfiltriert gespeicherte Zugangsdaten und Sitzungsdaten
• Sammelt lokale Dokumente und Datenbankdateien
• Führt Shell-Befehle und Python-Code aus
• Unterstützt das Abrufen von Dateien und Ordnern
• Enthält Funktionen zur Verringerung auffälliger Aktivitäten und Verzögerung der Erkennung

Der Command-and-Control-Datenverkehr wird über einen Mapbox-Datensatz als Ablagekanal geleitet. DNS-over-HTTPS und Domain-Fronting-Techniken sorgen dafür, dass der Datenverkehr wie legitime Anfragen wirkt. Größere Uploads werden an einen separaten Server gesendet.

Umfang und Zuordnung

YesWeHack und Sekoia identifizierten mindestens sieben gefälschte Repositories, die mit weit verbreiteten Schwachstellen in Verbindung stehen, darunter Sicherheitslücken in FortiWeb, React2Shell, MongoDB, PAN-OS, Ivanti Sentry, Check Point VPN und Joomla SP Page Builder. Die Forscher brachten die Kampagne außerdem mit früheren Aktivitäten in Verbindung, bei denen Ende 2025 andere bösartige Pakete eingesetzt wurden. Dies deutet darauf hin, dass derselbe Betreiber bereits seit einiger Zeit aktiv ist.

Den Angaben der Unternehmen zufolge waren die Infrastruktur und die Pakete zum Zeitpunkt der Veröffentlichung noch online. Ihre Empfehlung ist eindeutig: Öffentliche PoCs sollten bis zu ihrer Verifizierung als feindselig betrachtet werden. Prüfen Sie Abhängigkeiten sorgfältig und vermeiden Sie es, nicht vertrauenswürdigen Exploit-Code außerhalb streng kontrollierter Umgebungen auszuführen. Wer die Pakete möglicherweise installiert hat, sollte betroffene Systeme überprüfen, Zugangsdaten ändern und Hosts neu aufsetzen, falls ein kompromittiertes System vermutet wird.