Repository PoC falsi su GitHub usati per distribuire il malware ChocoPoC ai ricercatori di sicurezza

Secondo i risultati pubblicati da YesWeHack e Sekoia, i ricercatori di sicurezza sono presi di mira da repository Python malevoli contenenti proof of concept che mascherano un trojan ad accesso remoto per il furto di dati chiamato ChocoPoC.

La campagna utilizza un’esca ben nota: le vulnerabilità appena divulgate. Gli aggressori pubblicano repository GitHub che sembrano contenere codice exploit per CVE di grande interesse, quindi nascondono il malware nella catena delle dipendenze anziché nel PoC visibile. In questo modo, una rapida analisi dello script principale ha meno probabilità di rivelare la minaccia.

Come funziona la catena d’infezione

I ricercatori hanno affermato che l’attacco inizia quando una vittima clona un repository e installa i requisiti Python. Questa operazione importa un pacchetto denominato frint, che a sua volta installa skytext. All’interno di skytext è presente un piccolo componente compilato che si attiva quando rileva la presenza del PoC reale, quindi estrae il payload e recupera il trojan.

Poiché il codice malevolo verifica la presenza di file associati all’exploit, spesso rimane inattivo negli ambienti di analisi isolati. In altre parole, eseguire soltanto il pacchetto potrebbe non attivare alcun comportamento evidente.

Cosa fa ChocoPoC

Una volta eseguito, ChocoPoC si comporta come un RAT completo. Può raccogliere password dei browser, cookie, dati di compilazione automatica e cronologia da Chrome, Brave, Edge e Firefox. Cerca inoltre file locali, note, database, cronologia della shell, informazioni sui processi e dettagli sulla configurazione di rete.

• Esfiltra credenziali salvate e dati di sessione
• Raccoglie documenti locali e file di database
• Esegue comandi shell e codice Python
• Supporta il recupero di file e cartelle
• Include funzionalità per ridurre il rumore e ritardare il rilevamento

Il traffico di comando e controllo viene instradato attraverso un dataset Mapbox usato come deposito intermedio, mentre le tecniche DNS-over-HTTPS e domain fronting aiutano a farlo apparire simile a richieste legittime. I caricamenti di maggiori dimensioni vengono inviati a un server separato.

Portata e attribuzione

YesWeHack e Sekoia hanno identificato almeno sette repository falsi collegati a vulnerabilità importanti, tra cui falle che interessano FortiWeb, React2Shell, MongoDB, PAN-OS, Ivanti Sentry, Check Point VPN e Joomla SP Page Builder. I ricercatori hanno inoltre collegato la campagna ad attività precedenti che, alla fine del 2025, utilizzavano pacchetti malevoli diversi, suggerendo che lo stesso operatore sia attivo da tempo.

Le aziende hanno dichiarato che, al momento della pubblicazione del report, l’infrastruttura e i pacchetti erano ancora online. Il loro consiglio è semplice: considerare ostili i PoC pubblici finché non ne sia stata verificata l’autenticità, esaminare attentamente le dipendenze ed evitare di eseguire codice exploit non attendibile al di fuori di ambienti strettamente controllati. Chiunque possa aver installato i pacchetti dovrebbe esaminare i sistemi interessati, ruotare le credenziali e ricostruire gli host se si sospetta una compromissione.