ChocoPoC RAT借假PoC仓库攻击研究员

攻击者正把一个窃取数据的木马隐藏在伪造的漏洞利用代码中，目标是以找漏洞为职业的人。该恶意软件名为 ChocoPoC，存在于 GitHub 上的 Python 概念验证（PoC）仓库中，这些仓库声称可以利用新公布的 CVE。

运行其中一个仓库后，它会悄悄提取你保存的密码、浏览器 Cookie 和文件，然后把你机器上的 shell 交给攻击者。YesWeHack 和 Sekoia 于 7 月 1 日公布了联合研究结果，并警告称，截至报告发布时，恶意软件及其服务器仍在运行，因此不要执行这些 PoC。

该手法的关键在于代码所在的位置。可见的 PoC 看起来是干净的。恶意代码隐藏在 PoC 作为依赖项拉取的一个 Python 包中，因此可以绕过快速代码审查。

该陷阱如何运作

诱饵是时间压力。当一个重大漏洞出现时，研究人员会争相测试，并获取社区 PoC 以加快进度。该活动把这种习惯变成了一条感染路径。

链路很简单：

你克隆仓库，并运行 pip install 来获取 PoC 的依赖项。

这会拉取一个名为 frint 的包，而该包又会带入第二个包 skytext。

skytext 会附带一个小型编译文件（Linux 上为 gradient.so，Windows 上为 gradient.pyd），该文件会在你启动 PoC 的瞬间运行。

只有当它看到真正的 PoC 被加载时才会唤醒，它会检查是否存在名为 EXPLOIT_POC.py 或类似名称的文件，然后解包其载荷并下载木马。

正因如此，普通沙箱看不到任何东西。若仅单独运行该包，而不把完整 PoC 一起带上，恶意代码就会保持休眠。

它窃取什么、执行什么

一旦运行，ChocoPoC 就是一个完整的远程访问木马。它会从 Chrome、Brave、Edge 和 Firefox 中提取已保存密码、Cookie、自动填充内容和历史记录。它还会获取文本文件、笔记和本地数据库，以及 shell 历史、网络设置和正在运行的进程列表。

攻击者还可以执行任意 shell 命令、运行任意 Python、拉取整个文件夹，并降低恶意软件运行速度以保持隐蔽。多个命令名称使用西班牙语，代码也带有一些小错误，研究人员据此判断其更像手工编写，而非 AI 生成。

在控制方面，该恶意软件把自己隐藏在正常流量中。它通过读取 Mapbox 上的数据集来接收指令，Mapbox 是一个正常的地图服务，攻击者把它当作 dead drop。它通过 DNS-over-HTTPS 解析该地址，并使用 domain-fronting 技巧，因此流量看起来像普通的 Mapbox API 调用。更大的上传则会发送到位于 91.132.163.78 的单独服务器。

传播范围有多广

YesWeHack 和 Sekoia 找到了至少七个假 PoC 仓库，每个都关联一个高知名度漏洞：

FortiWeb path traversal（CVE-2025-64446）

React2Shell（CVE-2025-55182）

MongoBleed（CVE-2025-14847）

PAN-OS auth bypass（CVE-2026-0257）

Ivanti Sentry command injection（CVE-2026-10520）

Check Point VPN auth bypass（CVE-2026-50751）

Joomla SP Page Builder RCE（CVE-2026-48908）

仅 skytext 这个包就被下载了约 2,400 次，主要是在 Linux 上。下载量并不能证明有人真的被感染，但它们在重大 CVE 刚公布后就出现激增，这与诱饵策略相符。

同一活动更早的一轮可追溯到 2025 年底，当时使用了另外两个包 slogsec 和 logcrypt.cryptography，代码几乎完全相同。Sekoia 基于复用的控制标记，以高置信度判断这两轮活动背后是同一名攻击者。

该机构称，操作者在 GitHub、PyPI 和 Mapbox 账户之间轮换，其中多个账户是由泄露或被盗凭据创建的。尚未归因给任何已知组织。

安全研究人员是一个高价值目标。他们按设计会运行不受信任的代码，而且通常拥有较高权限；他们的机器里保存着客户凭据、私密报告和正在进行中的协作细节。只要攻陷一台，就可能影响远不止一台笔记本。

MUT-1244 campaign 也证明了这一点：它通过假 PoC 仓库从红队成员和研究员那里窃取 SSH keys 和云凭据。

这并不是一个新点子，只是换了一个新外壳。North Korea 的 Lazarus group 多年来一直以研究人员为目标，2021 年冒充同行漏洞猎人并投放恶意 Visual Studio projects，2023 年又对他们利用了一个 zero-day，之后还出现了新的攻击波次。

在通用网络犯罪方面，Trend Micro 发现了一个针对 Windows LDAP 漏洞的假 PoC（CVE-2024-49113），该 PoC 在 2025 年初窃取了研究人员数据；而在 2025 年晚些时候，另一场活动投放了带有木马 WebRAT 的假 CVE PoC，主要影响学生和初级测试人员。

ChocoPoC 的新增之处在于隐藏位置。恶意软件存在于依赖项中，因此你实际阅读的 PoC 保持干净。正如研究人员所说，恶意软件本身并不新鲜，但“正在变化的是投递机制”。

现在该怎么做

在未证明安全前，把任何 PoC 都视为敌对代码，并避开来自全新或未知账户的代码。

不要只看 PoC 文件，要检查完整的依赖链。留意新发布的包、不熟悉的维护者，以及历史被隐藏的账户。

只在一次性 VM 中测试，但要记住，单靠隔离无法触发这类样本。真正的修复是不安装这些包。

检查系统中是否存在 frint、skytext、slogsec 和 logcrypt.cryptography，以及报告中的文件哈希。如果你运行过其中任何一个，请轮换凭据并重建主机。

更大的风险在于下游。这类诱饵针对的是为 Nuclei 和 MDUT 等框架提供检测规则与 PoC 的研究人员。Sekoia 指出其中存在“双重供应链”风险：一旦污染某位研究员，恶意代码就可能进入成千上万人信任的框架。