ChocoPoC: El perillós hack que assetja investigadors de vulnerabilitats

L'amenaça oculta rere els repositoris de proves de concepte

En l'ecosistema de la ciberseguretat, la confiança és una moneda valuosa però perillosa. Recentment, ha emergit una campanya maliciosa que utilitza ChocoPoC, un Remote Access Trojan (RAT) dissenyat específicament per atacar investigadors que busquen activament explotar fallades de seguretat. La tècnica consisteix a camuflar el programari maliciós dins de repositoris de GitHub que prometen eines per explotar CVEs de recent aparició.

Aquest tipus d'atacs demostren com els actors d'amenaces estan refinant la seva enginyeria social, apuntant directament a aquells que, irònicament, dediquen la seva vida a descobrir i reportar bretxes. En executar el codi de prova de concepte (PoC), la víctima no només activa l'exploit esperat, sinó que permet que el programari maliciós prengui el control silenciós del seu sistema.

Com funciona l'atac de ChocoPoC?

El funcionament de ChocoPoC és sofisticat i està dissenyat per maximitzar el robatori d'informació sensible. Una vegada que l'script de Python s'executa a la màquina de l'investigador, el payload realitza les accions següents:

• Extracció de credencials: Accedeix a contrasenyes desades al navegador.
• Robatori d'identitat: Sostreu cookies de sessió per segrestar comptes actius.
• Exfiltració d'arxius: Escaneja directoris a la recerca de dades crítiques.
• Accés persistent: Obre una shell remota, permetent que l'atacant mantingui accés total a l'equip infectat.

"Els investigadors de seguretat han de ser extremadament cautelosos a l'hora d'executar codi de fonts no verificades, fins i tot si semblen eines legítimes per a l'anàlisi d'una vulnerabilitat."

El panorama d'amenaces actual

Aquest incident subratlla una tendència preocupant: els atacants estan utilitzant tàctiques cada vegada més dirigides. No és la primera vegada que observem aquest tipus de vectors de distribució; campanyes similars han utilitzat plataformes legítimes per propagar programari maliciós, tal com es detalla en l'anàlisi de VEIL#DROP: El nuevo hack que utiliza Blogger para distribuir malware.

A més, la ciberseguretat s'enfronta a un escenari on les fallades de seguretat són explotades amb rapidesa, sovint derivant en atacs de ransomware més complexos, tal com hem vist amb l'explotació de fallades crítiques on la CISA Alert: BlueHammer vulnerability now being used by ransomware ha posat en guàrdia les infraestructures crítiques. La lliçó és clara: en un món on el codi obert és la norma, la verificació de la integritat del programari és la primera línia de defensa.

Recomanacions per protegir-se

1. Execució en entorns aïllats: Mai provis PoCs en màquines principals; utilitza sempre sandboxes o màquines virtuals.
2. Auditoria de codi: Revisa sempre les dependències i les crides de xarxa dins dels scripts descarregats.
3. Monitoratge de xarxa: Detecta connexions sortints inusuals després d'executar fitxers descarregats de repositoris públics.