BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher berichten über den Trojaner „ChocoPoC“, der sich als scheinbare Python-Exploit- oder PoC-Repositories auf GitHub tarnt. Der Trick: Die sichtbaren PoC-Codes bleiben sauber, während das eigentliche Schadprogramm als Dependency erst beim Installieren aktiviert wird. Laut den aktuellen Analysen waren sowohl Malware als auch Steuerserver zum Zeitpunkt der Veröffentlichung noch erreichbar. Wer PoCs aus unbekannten oder frisch erstellten Quellen testet, riskiert den Zugriff auf Passwörter, Cookies und Dateien – bis hin zu Remote-Shells.
ChocoPoC zeigt, wie schnell sich die Angriffsfläche im Security-Alltag verschiebt: Nicht mehr nur klassische Phishing- oder Downloader-Ketten landen auf Rechnern, sondern die Werkzeuge, mit denen Teams eigentlich Schwachstellen aufspüren. Wie Branchenexperten (YesWeHack und Sekoia) berichten, versteckt sich der Remote-Access-Trojaner in scheinbar harmlosen Python-Proof-of-Concept-Repositories, die auf GitHub auf frische CVEs aufspringen. Der zeitliche Druck nach der Veröffentlichung großer Sicherheitslücken wird hier zur Eintrittskarte: Forscher laufen die Community-PoCs „zum Testen“ durch – und geben damit unabsichtlich die Bühne für einen Angriff auf ihre eigenen Entwicklungs- und Incident-Response-Umgebungen.
Technisch entscheidet im Fall ChocoPoC nicht der sichtbare PoC, sondern die Abhängigkeitskette: Der Nutzer klont das Repository und führt typischerweise „pip install“ aus, wodurch die dort deklarierten Anforderungen installiert werden. In der Analyse fällt auf, dass eine scheinbar legitime Python-Paketabhängigkeit (genannt frint) eine zweite Bibliothek (skytext) nachzieht. Genau dieses skytext-Paket enthält eine kleine kompilierte Komponente – als gradient.so unter Linux oder gradient.pyd unter Windows – die beim Start des PoC „aufwacht“. Entscheidend ist ein Tarnmechanismus über Kontextsignale: Das Schadprogramm prüft, ob im Prozessumfeld eine Datei wie EXPLOIT_POC.py vorhanden ist, und bleibt andernfalls inaktiv. Damit bestehen viele reine Sandbox-Detonationsläufe erfolgreich, obwohl später in realen PoC-Run-Setups Schaden entsteht.
Wenn die Erkennungssignale stimmen, arbeitet ChocoPoC als ausgewachsener Remote-Access-Trojaner. Berichtet wird über das gezielte Auslesen von gespeicherten Anmeldeinformationen und Session-Daten aus gängigen Browsern wie Chrome, Brave, Edge und Firefox, inklusive Cookies, Autofill-Daten und Verlauf. Zusätzlich sucht die Schadsoftware nach lokalen Textdateien, Notizen und Datenbanken, sowie nach Shell- und Prozessinformationen. Im Kern erhält der Angreifer damit nicht nur Datendiebstahl, sondern auch Steuerungsfähigkeit: Es werden beliebige Shell-Kommandos ausgeführt, außerdem lassen sich willkürliche Python-Logik und komplette Ordner abrufen. Um die Detektion zu reduzieren, kann die Malware außerdem „verlangsamt“ werden. Sekoia betont zudem, dass einzelne Befehle in Spanisch benannt sind und kleine Programmfehler auffallen, die eher nach manueller Ausarbeitung als nach zufällig generiertem Code wirken.
Für die Logik der Steuerung wird ein weiterer Punkt relevant: ChocoPoC nutzt Mapbox als scheinbar legitimen Datenkanal. Die Malware lädt Anweisungen über einen Datensatz von Mapbox herunter, verarbeitet dabei DNS-over-HTTPS und ergänzt das Ganze um eine Domain-Fronting-Technik, sodass der Netzwerkverkehr wie normale Mapbox-API-Aufrufe wirkt. Größere Uploads sollen über einen separaten Server unter der IP 91.132.163.78 laufen. Im Marktkontext zeigt sich damit ein Muster, das bereits aus anderen Kampagnen bekannt ist: Angreifer platzieren Vertrauen dort, wo Security-Teams ohnehin Code „ausrollen“. Ähnliche Ansätze werden auch aus der Praxis anderer Beobachter beschrieben, etwa in Bezug auf gefälschte PoCs bei Trend-Micro-Analysen sowie die seit Jahren beobachtete Kontaktaufnahme von Krypto-/Staatsakteuren wie Nordkorea-Lazarus, die Forscher mit täuschenden Projekten ans Ziel bringen. Was sich bei ChocoPoC verändert, ist vor allem der Delivery-Mechanismus: Die bösartige Logik ist als Dependency „unsichtbar“, während der PoC selbst wie ein sauberes Beispiel wirkt.
Wie weit die Kampagne reichte, lässt sich aus den Indikatoren ableiten, ohne bereits einen konkreten Infektionsnachweis zu liefern. Laut den Berichten fanden YesWeHack und Sekoia mindestens sieben Fake-PoC-Repositories, jeweils mit Bezug auf prominent beworbene Schwachstellen, darunter u. a. FortiWeb Path Traversal (CVE-2025-64446), React2Shell (CVE-2025-55182), MongoBleed (CVE-2025-14847), PAN-OS Auth Bypass (CVE-2026-0257), Ivanti Sentry Command Injection (CVE-2026-10520), Check Point VPN Auth Bypass (CVE-2026-50751) sowie Joomla SP Page Builder RCE (CVE-2026-48908). Zusätzlich wird genannt, dass das skytext-Paket rund 2.400-mal heruntergeladen wurde, überwiegend auf Linux. Sekoia geht mit hoher Sicherheit davon aus, dass derselbe Akteur auch frühere Varianten eingesetzt hat: Eine ältere Kampagne aus Ende 2025 verwendete die Pakete slogsec und logcrypt.cryptography mit weitgehend ähnlichem Code. Als Ursache nennt Sekoia wiederverwendete Kontrollmarker und eine Rotation von GitHub-, PyPI- und Mapbox-Konten, teils auf Basis geleakter oder gestohlener Logins. Genau hier liegt der Regulierungs- und Datenschutzkern: Wer dabei Credentials aus Browsern, Shell-Umgebungen oder privaten Reports verliert, berührt schnell personenbezogene Daten und hochsensible Verfahrensdetails aus laufenden Projekten.
Für die Praxis ergibt sich eine klare Abwehrlogik: Behandle PoCs als potenziell feindlich, bis ihre Herkunft und ihr Dependency-Graph überprüft sind. Das reine „Sandboxen“ reicht nicht aus, weil ChocoPoC bewusst erst bei passendem Kontext aktiviert wird. Der bessere Ansatz ist, die Installation zu verweigern, wenn die Quelle neu oder unbekannt ist, und stattdessen die gesamte Abhängigkeitskette zu prüfen – nicht nur die Datei EXPLOIT_POC.py. Konkret raten die Experten, nach den betroffenen Paketen zu suchen (frint, skytext, slogsec, logcrypt.cryptography) und zusätzlich die in den Analysen genannten Hashes gegen eure Systeme zu spiegeln. Falls bereits installiert oder ausgeführt wurde, sollten Betroffene Credentials rotieren und Hosts neu aufsetzen. Schließlich ist der größere Industrietrend entscheidend: Diese Lures zielen nicht nur auf einzelne Laptops, sondern indirekt auf die Supply-Chain entlang von Detektions- und Exploit-Frameworks wie Nuclei und MDUT. Ein kompromittierter Forscher kann zur Infektionsbrücke werden, weil automatisierte Regeln, PoCs oder Container-Images später tausendfach weiterverwendet werden. Die nächste Stufe solcher Angriffe wird deshalb sehr wahrscheinlich noch stärker auf „Trusted Developer Workflows“ ausgerichtet sein – dort, wo man am ehesten bereit ist, Pakete blind zu installieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ChocoPoC: Trojaner tarnt sich in Python-PoCs und liefert Shells an Sicherheitsforscher" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ChocoPoC: Trojaner tarnt sich in Python-PoCs und liefert Shells an Sicherheitsforscher" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ChocoPoC: Trojaner tarnt sich in Python-PoCs und liefert Shells an Sicherheitsforscher« bei Google Deutschland suchen, bei Bing oder Google News!