資安研究員在面對重大漏洞（CVE）發佈時，往往會搶時間尋找或測試社群提供的 PoC（Proof of Concept，概念驗證程式碼），以快速確認漏洞影響範圍。然而，這種對時間的壓力正被攻擊者利用。近期發現的一款名為 ChocoPoC 的遠端控制木馬（RAT, Remote Access Trojan），正是透過在 GitHub 上佈署偽裝成漏洞利用工具的儲存庫，精準獵殺資安研究員與紅隊人員。
這種攻擊最狡猾的地方在於它不直接在主程式碼中植入惡意邏輯，而是將陷阱藏在依賴鏈（Dependency Chain）之中。
隱藏在依賴項中的惡意程式碼，能有效繞過許多工程師習慣的快速程式碼審查（Quick Code Review）。
陷阱的觸發機制
當研究員克隆（Clone）儲存庫並執行 pip install 安裝需求套件時，感染鏈便開始運作。首先，PoC 會要求安裝一個名為 frint 的套件，而 frint 進一步會拉入另一個名為 skytext 的套件。
真正的惡意載荷（Payload）被編譯成二進位檔案（Linux 為 gradient.so，Windows 為 gradient.pyd），封裝在 skytext 套件中。為了躲避沙箱（Sandbox）的自動化分析，該木馬設計了一套環境檢查機制：它在啟動後不會立即執行，而是會檢查當前路徑是否存在 EXPLOIT_POC.py 等特定名稱的檔案。如果偵測到 PoC 主程式正在執行，它才會解開載荷並下載真正的木馬。這意味著如果你單獨在沙箱中運行該套件，它會保持沈默，讓分析人員誤以為該套件是安全的。
ChocoPoC 的功能與控制手段
一旦成功感染，ChocoPoC 會變成一個功能完備的遠端控制木馬。它能竊取主流瀏覽器（Chrome, Brave, Edge, Firefox）中儲存的密碼、Cookies、自動填入資訊與瀏覽紀錄。此外，它還會搜刮本地的文字檔、筆記、資料庫、Shell 歷史紀錄以及網路設定。
攻擊者不僅能獲取資料，還能透過該木馬執行任意 Shell 指令或 Python 程式碼，甚至直接下載整個資料夾。
在控制端（C2, Command and Control），攻擊者採取了極高的隱匿手段。它利用 Mapbox（一個合法的地圖服務）的資料集作為死信箱（Dead Drop Resolver），將指令隱藏在看似正常的 API 調用中。為了進一步掩蓋流量，它使用了 DNS-over-HTTPS（DoH）與網域前置（Domain Fronting）技術，讓網路監控設備看到的僅僅是與 Mapbox 之間的合法通訊。
針對高價值目標的心理戰
這次攻擊針對的漏洞清單涵蓋了 FortiWeb、PAN-OS、Ivanti Sentry 等高知名度設備，這顯示攻擊者非常了解研究員會關注哪些熱門 CVE。
為什麼針對研究員？因為研究員的電腦通常擁有高權限，且存放著客戶憑證、未公開的漏洞報告以及對內部網路的存取路徑。一旦攻破一名研究員，攻擊者就能以此為跳板，進一步滲透到更深層的企業環境或供應鏈中。
更危險的是，許多研究員會將測試過的 PoC 貢獻給 Nuclei 等自動化掃描框架。如果研究員在不知情的情況下將帶有惡意依賴的程式碼整合進這些框架，將會導致大規模的供應鏈污染，讓成千上萬信任該框架的使用者集體中招。
實務防禦建議
對於習慣測試 PoC 的工程師與研究員，建議採取以下防禦措施：
第一，將所有來源不明的 PoC 視為惡意程式。不要僅僅檢查主程式碼，必須審查完整的依賴鏈（requirements.txt 或 setup.py），檢查是否有陌生或剛建立的套件。
第二，絕對不要在主機上直接執行 PoC。必須使用完全隔離且可隨時捨棄的虛擬機（Disposable VM）。但請記住，單純的隔離無法阻止木馬執行，只能防止主機被感染。
第三，檢查環境中是否安裝了 frint、skytext、slogsec 或 logcrypt.cryptography 等可疑套件。若發現已安裝，應立即撤換所有憑證並重新安裝作業系統。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。