ChocoPoC: PoC falso no GitHub rouba senhas de pesquisadores

O ChocoPoC é um malware do tipo cavalo de Troia de acesso remoto (RAT) descoberto pela empresa francesa Sekoia em julho de 2026, distribuído por meio de proofs-of-concept falsos hospedados no GitHub. A ameaça se esconde em pacotes Python maliciosos listados como dependências dos PoCs e já foi baixada 2.400 vezes, roubando senhas de navegador, cookies, arquivos e credenciais de pesquisadores de segurança em todo o mundo. O ataque explora a urgência de testar vulnerabilidades recém-divulgadas.

O que aconteceu

Pesquisadores da empresa de cibersegurança Sekoia descobriram uma campanha sofisticada que usa repositórios falsos no GitHub para distribuir um malware chamado ChocoPoC. O ataque, revelado em 1º de julho de 2026, tem como alvo principal pesquisadores de segurança, pentesters e desenvolvedores que costumam baixar e testar proofs-of-concept (PoCs) de vulnerabilidades recém-divulgadas. O pacote malicioso skytext, usado na campanha, foi baixado 2.400 vezes, em sua maioria em sistemas Linux, segundo análise da BleepingComputer.

O que torna o ChocoPoC particularmente perigoso é a sua técnica de entrega: em vez de esconder o malware dentro do código do exploit — algo que ferramentas de análise podem detectar —, os atacantes injetaram pacotes Python maliciosos na lista de dependências do PoC. Isso significa que o exploit em si funciona perfeitamente e parece legítimo, mas ao executá-lo, o gerenciador de pacotes instala silenciosamente um cavalo de Troia com acesso remoto completo à sua máquina.

Como o ataque funciona

A cadeia de infecção foi detalhada pela equipe de pesquisa da Sekoia (pesquisadores Pierre Le Bourhis e Quentin Bourgue) e funciona em camadas sucessivas de ocultação:

1. O pesquisador clona um repositório do GitHub que aparenta conter um PoC funcional para uma vulnerabilidade real e recente.
2. O arquivo requirements.txt do repositório inclui um pacote chamado frint, hospedado no PyPI (Python Package Index).
3. Ao instalar as dependências, o frint puxa automaticamente um segundo pacote chamado skytext, que contém uma extensão nativa compilada em Python.
4. Quando o PoC é executado, essa extensão roda automaticamente, descriptografa código Python embutido e aciona um downloader.
5. O downloader busca o payload final — o ChocoPoC — a partir de um dataset do Mapbox, abusando de uma plataforma legítima de mapas como servidor de comando e controle.

A escolha do Mapbox como infraestrutura de C2 é um detalhe técnico relevante: ao usar um serviço conhecido e confiável, o tráfego malicioso se mistura ao tráfego normal da aplicação, dificilmente bloqueado por firewalls ou sistemas de detecção tradicionais.

Quais vulnerabilidades foram usadas como isca

A Sekoia identificou pelo menos sete repositórios no GitHub distribuindo o ChocoPoC, cada um explorando uma vulnerabilidade diferente e atual. A escolha dessas CVEs não é aleatória: os atacantes selecionaram falhas de produtos amplamente usados no mercado brasileiro e internacional, todas com alto impacto e grande cobertura na imprensa especializada. A tabela abaixo resume os alvos:

A estratégia é simples e eficaz: assim que uma falha crítica é divulgada, pesquisadores e equipes de segurança correm para baixar PoCs e verificar se seus sistemas estão vulneráveis. Os atacantes aproveitam essa urgência — e o fato de que muitos pesquisadores executam código não confiável como parte da rotina de trabalho.

O que o ChocoPoC rouba

Depois de instalado, o ChocoPoC funciona como um acesso remoto completo (RAT) com capacidades extensas de roubo de dados. De acordo com a análise técnica da BleepingComputer baseada no relatório da Sekoia, o malware pode:

• Executar comandos de shell arbitrários e código Python diretamente na máquina comprometida
• Coletar senhas, cookies, dados de preenchimento automático e histórico de navegação de todos os navegadores instalados
• Fazer upload de arquivos e diretórios inteiros para servidores controlados pelos atacantes
• Buscar e exfiltrar arquivos de texto, documentação em Markdown e bancos de dados locais
• Coletar o histórico de comandos do terminal (shell history), expondo credenciais digitadas em texto plano
• Mapear a configuração de rede do host e enumerar processos em execução

Para um pesquisador de segurança, isso é devastador. A máquina de trabalho costuma conter relatórios de pentest não publicados, credenciais de clientes, chaves de API de plataformas de nuvem e acessos privilegiados a infraestruturas críticas. Um único download descuidado pode comprometer toda uma operação — algo já visto em campanhas como a dos pacotes npm e Go sequestrados que espionavam desenvolvedores via VS Code, reportada recentemente.

Atacantes usaram contas roubadas

Um aspecto particularmente preocupante da campanha é a origem das contas usadas para publicar os pacotes maliciosos. A Sekoia descobriu que, antes de frint e skytext, a mesma operação já havia usado pacotes chamados slogsec e logcrypt.cryptography, com código praticamente idêntico e o mesmo payload ChocoPoC.

Mais revelador: os pesquisadores encontraram vários endereços de e-mail associados aos committers do GitHub, ligados a outra atividade de trojanização de PoCs no final de 2025. As credenciais de dois desses e-mails apareceram em bancos de dados de vazamentos, e o login de outro “tem alta probabilidade de originar-se de um comprometimento por infostealer”, segundo a Sekoia.

Em outras palavras: os atacantes não criaram contas novas do zero. Eles sequestraram contas legítimas de desenvolvedores cujas credenciais já estavam circulando na dark web — o que torna os repositórios maliciosos ainda mais críveis, pois podem estar associados a perfis com histórico de contribuições reais. Essa tática lembra a operação do Lazarus Group contra desenvolvedores usando falsos testes de recrutamento, onde a confiança também foi a arma principal.

Como se proteger na prática

A campanha ChocoPoC expõe uma vulnerabilidade estrutural no ecossistema de código aberto: a confiança implícita em repositórios públicos e dependências transitivas. Para pesquisadores e desenvolvedores brasileiros, as recomendações concretas incluem:

• Nunca execute PoCs fora de um ambiente isolado. Use máquinas virtuais, containers Docker ou sandboxes dedicados. O host principal nunca deve rodar código não verificado.
• Revise manualmente o arquivo requirements.txt antes de instalar. Verifique cada pacote listado no PyPI: data de criação, número de downloads, mantenedor e histórico de versões. Pacotes recém-criados com nomes desconhecidos são um sinal de alerta imediato.
• Use ferramentas de análise de dependências. Soluções como pip-audit, Safety e Socket podem identificar pacotes com comportamento suspeito antes da instalação.
• Ative autenticação multifator em todas as contas. Como os atacantes usaram credenciais roubadas, a MFA é a defesa mais eficaz contra o sequestro de contas de desenvolvedores.
• Monitore o tráfego de rede do ambiente de análise. Conexões inesperadas para o Mapbox, endpoints desconhecidos ou volumes anormais de upload de dados são indicadores de exfiltração ativa.

Impacto no Brasil

O Brasil tem uma das maiores comunidades de desenvolvedores Python do mundo, e o ecossistema PyPI é parte do fluxo de trabalho diário de milhares de equipes de tecnologia no país. A comunidade brasileira de segurança — que cresce ano após ano, com eventos como a H2HC (Hackers to Hackers Conference) e a Roadsec — depende fortemente de PoCs públicos para pesquisa e resposta a incidentes.

O ataque ChocoPoC demonstra que os adversários conhecem esse comportamento e o exploram de forma cirúrgica. Não basta mais confiar no número de estrelas de um repositório ou na aparente legitimidade do código do exploit. A ameaça está nas dependências invisíveis — pacotes que você nunca escolheu instalar, mas que entram silenciosamente pela porta dos fundos do seu gerenciador de pacotes. Outro caso recente de exfiltração silenciosa foi o vazamento de dados via MCP envenenado na Microsoft, que segue a mesma lógica de abuso de plataformas confiáveis.

A regra de ouro continua válida: trate todo código de fonte externa como hostil até que se prove o contrário. Em um cenário onde até o exploit mais convincente pode esconder um ladrão de senhas, a paranoia não é um defeito — é uma ferramenta de trabalho.

Referências

• BleepingComputer — New ChocoPoC malware targets researchers via trojanized PoC exploits (Bill Toulas, 1º de julho de 2026)
• Sekoia — Don’t Eat The ChocoPoCs! How Vulnerability Researchers Were Repeatedly Targeted By Trojanised Exploits (Pierre Le Bourhis e Quentin Bourgue, 1º de julho de 2026)
• Cybersecurity News — Cobertura de ameaças à cadeia de suprimentos de software
• PyPI — Diretrizes de segurança para o ecossistema Python