Una nuova campagna di malware sta prendendo di mira i ricercatori di vulnerabilità sfruttando un comportamento comune nel settore cyber security: scaricare e provare rapidamente repository PoC (proof of concept) pubblicati su GitHub subito dopo la divulgazione di una CVE. Il trojan, chiamato ChocoPoC RAT, viene distribuito tramite falsi repository che promettono exploit funzionanti per falle molto discusse, ma che in realtà introducono una catena di dipendenze Python malevole.
Il punto chiave è che il codice PoC visibile può apparire pulito a una revisione veloce. L’infezione avviene invece quando si installano i requisiti del progetto con pip install. In diversi casi il repository richiama il pacchetto frint che a sua volta trascina skytext. Questo secondo pacchetto include un componente compilato, ad esempio gradient.so su Linux o gradient.pyd su Windows, che entra in esecuzione quando si avvia il PoC. Per eludere analisi superficiali, il malware controlla anche il contesto e si attiva solo se rileva file tipici del PoC come EXPLOIT_POC.py o nomi simili. Se il pacchetto viene testato isolatamente, può restare inattivo e sembrare innocuo.
Una volta eseguito, ChocoPoC si comporta come un vero remote access trojan. Raccoglie password salvate, cookie, dati di autofill e cronologia da browser diffusi come Chrome, Brave, Edge e Firefox. Inoltre può prelevare file di testo, note, database locali, informazioni di rete, processi in esecuzione e cronologia della shell. L’attaccante può impartire comandi da remoto, eseguire codice Python arbitrario, scaricare cartelle e modulare la velocità delle operazioni per ridurre la visibilità.
Per il comando e controllo la minaccia usa tecniche di mimetizzazione del traffico, includendo l’uso di servizi leciti come canale indiretto e risoluzione DNS over HTTPS, rendendo più difficile distinguere le richieste malevole da normali chiamate API. Sono stati osservati più repository falsi associati a CVE di alto profilo, e i download dei pacchetti indicano un interesse significativo soprattutto su sistemi Linux, coerente con l’ambiente tipico di molti ricercatori e tester.
Il rischio non riguarda solo il singolo endpoint compromesso. Se un ricercatore viene infettato, credenziali e materiali di lavoro possono aprire la strada a ulteriori compromissioni e a possibili attacchi supply chain verso strumenti e framework usati da migliaia di persone. Per ridurre l’esposizione è fondamentale verificare l’intera catena di dipendenze, diffidare di account appena creati, evitare pacchetti appena pubblicati e testare PoC solo in ambienti usa e getta senza installare requisiti non verificati.