Aanvallers verbergen een trojan voor het stelen van gegevens in valse exploitcode, gericht op mensen die voor hun geld op bugs jagen. De malware, genaamd ChocoPoCreist door Python proof-of-concept (PoC)-repository’s op GitHub die beweren nieuwe CVE’s te exploiteren.
Voer er één uit, en het haalt stilletjes uw opgeslagen wachtwoorden, browsercookies en bestanden op, en geeft de aanvaller vervolgens een shell op uw machine. YesWeHack en Sekoia publiceerden hun gezamenlijke bevindingen op 1 juli en waarschuwden dat de malware en de bijbehorende servers op dat moment nog steeds live waren, dus voer geen van deze PoC’s uit.
De truc is waar de code zit. De zichtbare PoC ziet er schoon uit. De malware verbergt zich in een Python-pakket dat de PoC als afhankelijkheid binnenhaalt, waardoor het voorbijgaat aan een snelle codebeoordeling.
Hoe de val werkt
Het aas is tijdsdruk. Wanneer er een grote fout optreedt, haasten onderzoekers zich om deze te testen en de PoC’s van de gemeenschap te benutten om snel actie te ondernemen. Deze campagne maakt van die gewoonte een infectieroute.
De keten, in duidelijke bewoordingen:
- U kloont de repository en voert pip install uit om de vereisten van de PoC op te halen.
- Dat haalt een pakket binnen met de naam frint, dat op zijn beurt een tweede pakket sleept, skytext.
- skytext verzendt een klein gecompileerd bestand (gradient.so op Linux, Gradient.pyd op Windows) dat wordt uitgevoerd op het moment dat u de PoC start.
- Het wordt pas wakker als het de echte PoC geladen ziet, controleert op een bestand met de naam EXPLOIT_POC.py of iets dergelijks, pakt vervolgens zijn lading uit en downloadt de trojan.
Die laatste controle is de reden waarom een gewone sandbox niets ziet. Laat het pakket zelfstandig tot ontploffing komen, zonder de volledige PoC eromheen, en de malware blijft in slaap.
Wat het steelt en doet
Eenmaal opgestart, is ChocoPoC een volledige trojan voor externe toegang. Het haalt opgeslagen wachtwoorden, cookies, automatisch aanvullen en geschiedenis op uit Chrome, Brave, Edge en Firefox. Het pakt tekstbestanden, notities en lokale databases, samen met shell-geschiedenis, netwerkinstellingen en de lijst met actieve processen.
De aanvaller kan ook elk shell-commando uitvoeren, willekeurige Python uitvoeren, hele mappen ophalen en de malware vertragen om stil te blijven. Verschillende opdrachtnamen zijn in het Spaans en de code bevat kleine bugs, die de onderzoekers lezen als handgeschreven in plaats van door AI gegenereerd.
Voor controle verbergt de malware zich in het volle zicht. Het leest zijn orders uit een dataset op Mapbox, een normale kaartservice, en gebruikt deze als een dead drop. Het lost dat adres op via DNS-over-HTTPS en gebruikt een domein-fronting-truc, zodat het verkeer eruit ziet als gewone Mapbox API-aanroepen. Grotere uploads gaan naar een aparte server op 91.132.163.78.
Hoe ver heeft het zich verspreid
YesWeHack en Sekoia hebben minstens zeven valse PoC-repository’s gevonden, elk gekoppeld aan een spraakmakende fout:
- FortiWeb-paddoorgang (CVE-2025-64446)
- React2Shell (CVE-2025-55182)
- MongoBleed (CVE-2025-14847)
- PAN-OS-authenticatie omzeilen (CVE-2026-0257)
- Ivanti Sentry-commando-injectie (CVE-2026-10520)
- Check Point VPN-authenticatie omzeilen (CVE-2026-50751)
- Joomla SP Paginabouwer RCE (CVE-2026-48908)
Alleen al het skytext-pakket werd ongeveer 2.400 keer gedownload, voornamelijk op Linux. Downloads bewijzen niet dat iemand besmet was, maar ze piekten direct nadat grote CVE’s openbaar werden gemaakt, wat in de smaak valt.
Bij een eerdere uitvoering van dezelfde campagne, die terugging tot eind 2025, werden twee andere pakketten gebruikt, slogsec en logcrypt.cryptography, met vrijwel identieke code. Sekoia beoordeelt met groot vertrouwen dat één actor achter beide staat, op basis van hergebruikte controlemarkeringen.
Er staat dat de operator via GitHub-, PyPI- en Mapbox-accounts heeft gerouleerd, waarvan er verschillende zijn opgebouwd uit gelekte of gestolen logins. Er is geen bekende groep genoemd.
Beveiligingsonderzoekers vormen een rijk doelwit. Ze voeren standaard niet-vertrouwde code uit, vaak met hoge rechten, en hun machines bevatten klantreferenties, privérapporten en details van live afspraken. Als u één compromis sluit, kunt u ver voorbij één enkele laptop reiken.
De MUT-1244-campagne toonde de winst, waarbij gebruik werd gemaakt van nep-PoC-repository’s om SSH-sleutels en cloud-inloggegevens van red-teamers en onderzoekers te stelen.
Dit is geen nieuw idee, alleen een nieuwe verpakking. De Noord-Koreaanse Lazarus-groep heeft jarenlang onderzoekers het hof gemaakt, zich voorgedaan als collega-bugjagers en kwaadaardige Visual Studio-projecten verzonden in 2021, om vervolgens in 2023 een zero-day op hen af te branden, met sindsdien nieuwe golven.
Aan de kant van de grondstoffencriminaliteit vond Trend Micro begin 2025 een valse PoC voor een Windows LDAP-fout (CVE-2024-49113) die gegevens van onderzoekers stal, en eind 2025 pushte een afzonderlijke campagne valse CVE PoC’s met een trojan genaamd WebRAT, waarbij vooral studenten en junior testers werden getroffen.
Wat ChocoPoC toevoegt is de verstopplek. De malware leeft in een afhankelijkheid, dus de PoC die u daadwerkelijk leest, blijft schoon. Zoals de onderzoekers het stellen, is de malware zelf oud nieuws, maar “wat verandert is het leveringsmechanisme.”
Wat nu te doen
- Behandel elke PoC als vijandig totdat het tegendeel bewezen is, en vermijd code van gloednieuwe of onbekende accounts.
- Lees de volledige afhankelijkheidsketen, niet alleen het PoC-bestand. Let op nieuw gepubliceerde pakketten, onbekende beheerders en accounts met een verborgen geschiedenis.
- Test alleen in een wegwerp-VM, maar onthoud dat isolatie alleen deze niet zal activeren. De echte oplossing is het helemaal niet installeren van de pakketten.
- Controleer uw systemen op frint, skytext, slogsec en logcrypt.cryptography, plus de bestandshashes in het rapport. Als u een van deze hebt uitgevoerd, roteert u de inloggegevens en bouwt u de host opnieuw op.
Het grotere risico ligt stroomafwaarts. Deze lokmiddelen zijn gericht op de onderzoekers die detecties en PoC’s leveren aan raamwerken als Nuclei en MDUT. Sekoia wijst op het gevaar van een dubbele klap in de toeleveringsketen: als je één onderzoeker vergiftigt, kan de slechte code een raamwerk binnendringen waar duizenden anderen op vertrouwen.
