- Un nou troian numit ChocoPoC se ascunde în repositorii GitHub care pretind că oferă exploituri Proof-of-Concept, vizând cercetătorii în securitate.
O campanie recentă vizează direct cercetătorii în securitate cibernetică, folosind repositorii GitHub care găzduiesc exploituri Proof-of-Concept (PoC) pentru vulnerabilități renumite. În spatele codului aparent util se ascunde un troian de acces remote (RAT) denumit ChocoPoC, capabil să fure parole, cookie-uri și fișiere, precum și să ofere atacatorului control complet asupra mașinii victimei.
Cum funcționează ChocoPoC
ChocoPoC este scris în Python și este distribuit sub formă de repositorii GitHub care pretind a fi PoC-uri pentru CVE-uri populare. Cercetătorul descarcă și rulează codul, crezând că testează o vulnerabilitate, dar în realitate activează malware-ul. Odată executat, ChocoPoC fură parole salvate în browsere, cookie-uri de sesiune și documente, apoi le exfiltrează către un server C2. În plus, deschide o conexiune inversă (reverse shell) care permite atacatorului să execute comenzi arbitrare pe mașina infectată.
Cine este în spatele atacurilor și cum se protejează cercetătorii
Specialiștii de la YesWeHack au identificat campania și au alertat comunitatea de securitate. Deși nu se cunoaște identitatea exactă a atacatorilor, modul de operare sugerează un grup bine organizat, posibil statal sau de tip APT. Pentru a evita infectarea, cercetătorii sunt sfătuiți să verifice sursa și autenticitatea oricărui PoC înainte de a-l rula, chiar dacă se află pe platforme aparent de încredere precum GitHub. Utilizarea unor medii izolate (sandbox sau mașini virtuale) este esențială, la fel și scanarea codului cu soluții de securitate înainte de execuție.
Ce inseamnă pentru tine
Dacă ești cercetător în securitate sau tester de penetrare, acest atac subliniază cât de ușor poți deveni țintă. Iată ce poți face:
- Nu rula niciodată un PoC descărcat direct, fără să inspectezi codul și să-l rulezi într-un mediu izolat.
- Folosește instrumente de securitate precum sandbox-uri sau mașini virtuale fără acces la date sensibile.
- Verifică reputația autorului și a repositoriului; contribuțiile recente sau conturile noi sunt suspecte.