تروجان جدید ChocoPoC محققان آسیب‌پذیری را از طریق مخازن جعلی PoC هدف قرار می‌دهد

مهاجمان سایبری یک تروجان سرقت اطلاعات به نام ChocoPoC را در قالب کدهای جعلی اثبات مفهوم (Proof-of-Concept) در گیت‌هاب پنهان کرده‌اند که محققان امنیتی و شکارچیان آسیب‌پذیری را هدف قرار می‌دهد. شرکت‌های YesWeHack و Sekoia در اول ژوئیه نتایج مشترک خود را منتشر کردند و هشدار دادند که این بدافزار و سرورهای کنترلی آن همچنان فعال هستند. این بدافزار در یک بسته وابستگی (dependency) پایتون به نام «frint» پنهان شده که خود بسته دیگری به نام «skytext» را بارگذاری می‌کند؛ بدین ترتیب کد اصلی PoC در نگاه اول سالم به نظر می‌رسد. پس از اجرا، ChocoPoC رمزهای عبور ذخیره‌شده، کوکی‌های مرورگر، تاریخچه و فایل‌های متنی را از مرورگرهای Chrome، Brave، Edge و Firefox سرقت کرده و دسترسی کامل از راه دور (Remote Access Trojan) به مهاجم می‌دهد. این بدافزار برای پنهان‌کاری دستوراتش از سرویس نقشه‌برداری Mapbox به عنوان یک نقطه مخفی (dead drop) استفاده می‌کند و ترافیک خود را از طریق DNS-over-HTTPS و تکنیک domain-fronting به تماس‌های عادی API این سرویس شبیه‌سازی می‌کند.

محققان حداقل هفت مخزن جعلی مرتبط با آسیب‌پذیری‌های پرسروصدا از جمله FortiWeb، PAN-OS، Ivanti Sentry و Check Point VPN شناسایی کردند. بسته skytext به تنهایی حدود ۲٬۴۰۰ بار دانلود شده که بیشتر آن‌ها بلافاصله پس از انتشار CVEهای مهم رخ داده است. Sekoia با اطمینان بالا اعلام کرده که یک عامل واحد پشت این کمپین و یک کمپین مشابه پیشین با بسته‌های «slogsec» و «logcrypt.cryptography» قرار دارد. کارشناسان توصیه می‌کنند سیستم‌ها را برای وجود این بسته‌ها بررسی کنید، در صورت اجرای آن‌ها اعتبارنامه‌ها را تغییر داده و سیستم را بازسازی کنید؛ چرا که آلودگی یک محقق می‌تواند از طریق ابزارهایی مانند Nuclei به زنجیره تأمین امنیتی گسترده‌تری آسیب برساند.