A caça por vulnerabilidades acabou de se tornar mais perigosa para os próprios caçadores. Uma nova vaga de ataques descoberta pelos especialistas da Sekoia revela que piratas informáticos estão a usar provas de conceito (PoC) falsas para distribuir um troiano de acesso remoto chamado ChocoPoC. O alvo principal desta investida são os investigadores de cibersegurança que procuram testar falhas recentemente divulgadas na internet.
A tática de esconder perigos nas dependências
A astúcia desta operação reside na forma como a ameaça é entregue. Em vez de embutirem o código malicioso diretamente nos ficheiros do exploit, os atacantes recorrem a repositórios do GitHub para alojar as provas de conceito aparentemente inofensivas. O verdadeiro problema encontra-se na lista de dependências da linguagem Python. Quando a vítima clona o projeto para a sua máquina, o sistema instala automaticamente um pacote alterado chamado frint, obtido diretamente do Python Package Index (PyPI).
Este pacote puxa de imediato uma segunda dependência, conhecida por skytext, que contém uma extensão nativa compilada. Assim que o PoC entra em execução, a extensão arranca, desencripta código adicional e descarrega o payload final a partir de um conjunto de dados legítimo do Mapbox. O resultado é a instalação invisível do ChocoPoC. Para um analista em Portugal a auditar sistemas corporativos, isto traduz-se num risco severo: o malware ganha a capacidade de roubar palavras-passe do navegador, recolher o histórico, capturar ficheiros de texto e bases de dados, além de conseguir executar comandos arbitrários na máquina afetada.
Contas comprometidas e milhares de transferências
A investigação aponta para a existência de pelo menos sete repositórios focados em vulnerabilidades de alto perfil, servindo de isco para falhas em sistemas como FortiWeb (CVE-2025-64446), PAN-OS (CVE-2026-0257), Ivanti Sentry (CVE-2026-10520) e Check Point VPN (CVE-2026-50751). O atrativo destas vulnerabilidades populares levou a que o pacote skytext registasse 2400 transferências, com grande incidência em ambientes Linux. Antes desta abordagem, a mesma campanha já tinha operado com pacotes com código semelhante, batizados de slogsec e logcrypt.cryptography.
Os atacantes conduzem estas ações através de contas de utilizadores cujas credenciais foram parar a bases de dados expostas após fugas de informação, mascarando o rasto da operação por trás de perfis fidedignos. Para a comunidade profissional de testes de penetração, a lição prática é clara. A confiança cega em código não verificado proveniente de repositórios públicos acarreta perigos reais para as organizações, pelo que o isolamento estrito dos ambientes de testes continua a ser uma linha de defesa indispensável contra ameaças que se vestem de ferramentas de trabalho.
Nenhum comentário
Seja o primeiro!