ChocoPoC RAT lây qua PoC bị cài mã độc trên GitHub và phụ thuộc PyPI
"Researchers identified a campaign distributing a Python-based RAT called ChocoPoC through trojanized proof-of-concept exploit repositories on GitHub. The malware is delivered via malicious PyPI dependencies rather than directly in the exploit code, enabling command execution, data theft, and file exfiltration; affected PoCs were tied to multiple CVEs including CVE-2025-64446, CVE-2025-55182, CVE-2025-14847, CVE-2026-0257, CVE-2026-10520, CVE-2026-50751, and CVE-2026-48908. The recommended mitigation is to avoid blindly trusting PoC repositories and to run unverified code only in isolated environments."
Tác động đáng kể do kỹ thuật chuyển hành vi độc hại sang phụ thuộc PyPI, giúp PoC trông có vẻ hợp lệ. Các điểm then chốt: thực thi lệnh từ RAT, trộm dữ liệu trình duyệt và tệp, và lây qua chuỗi cài đặt gói.
Rủi ro gián tiếp nhưng thực tế đối với tổ chức có đội nghiên cứu/kiểm thử thường xuyên chạy PoC: nguy cơ gián đoạn nghiên cứu, rò rỉ dữ liệu và tăng chi phí xử lý sự cố. Điểm cần chú ý: tấn công nhắm vào người tải PoC, tải lên dữ liệu và thông tin hệ thống.
Các nhà nghiên cứu phát hiện chiến dịch phân phối mã độc ChocoPoC (Python-based RAT) nhắm tới các nhà nghiên cứu an ninh thông qua các kho PoC bị trojan hóa trên GitHub. Điểm đáng chú ý là thay vì nhúng trực tiếp mã độc vào tệp exploit, kẻ tấn công đưa hành vi độc hại vào danh sách phụ thuộc Python của PoC.
Theo phân tích của Sekoia, khi nạn nhân clone repository, một gói trojan hóa tên frint được tự động tải và cài đặt từ PyPI. Trong quá trình cài đặt, frint tiếp tục kéo một gói phụ thuộc độc hại skytext, chứa phần mở rộng Python native đã biên dịch. Khi PoC chạy, phần mở rộng này tự động giải mã mã Python bổ sung, kích hoạt bộ tải để tải payload cuối cùng ChocoPoC từ một Mapbox dataset.
ChocoPoC có khả năng thực thi lệnh, thu thập dữ liệu nhạy cảm (mật khẩu/cookie/tự điền/lịch sử trình duyệt), thu thập thông tin hệ thống (quá trình đang chạy, cấu hình mạng, lịch sử shell) và tải lên tệp. Sekoia ghi nhận ít nhất bảy repository liên quan đến nhiều CVE, gồm CVE-2025-64446, CVE-2025-55182, CVE-2025-14847, CVE-2026-0257, CVE-2026-10520, CVE-2026-50751, CVE-2026-48908; gói skytext được tải khoảng 2.400 lần chủ yếu trên Linux.
Khuyến nghị: không tin cậy mù các PoC trên GitHub, chỉ chạy mã chưa xác minh trong môi trường cô lập (sandbox/VM), đồng thời kiểm tra kỹ chuỗi phụ thuộc và nguồn gói trên PyPI trước khi cài đặt.