Nach Darstellung von YesWeHack und Sekoia liegt der Kern des Angriffs in der Liefermethode. Der sichtbare PoC bleibt sauber, die eigentliche Schadfunktion steckt in einem Python-Paket, das der PoC als Abhängigkeit einbindet. Das erschwert eine schnelle manuelle Prüfung. Ein zusätzlicher Schutzmechanismus sorgt dafür, dass die Malware in einer isolierten Analyseumgebung nicht ohne Weiteres anspringt: Wird das Paket allein und ohne den vollständigen PoC-Kontext ausgeführt, bleibt es inaktiv.
Ist ChocoPoC erst aktiv, arbeitet es als vollwertiger Remote-Access-Trojaner. Laut den Forschern liest die Malware gespeicherte Passwörter, Cookies, Autofill-Daten und den Browserverlauf aus Chrome, Brave, Edge und Firefox aus. Hinzu kommen Textdateien, Notizen, lokale Datenbanken, Shell-Verläufe, Netzwerkkonfigurationen und die Liste laufender Prozesse. Der Angreifer kann außerdem beliebige Shell-Befehle ausführen, beliebigen Python-Code starten, komplette Ordner abrufen und die Aktivität der Malware drosseln, um unauffälliger zu bleiben. Mehrere Befehlsnamen sind auf Spanisch; kleinere Fehler im Code werten die Forscher als Hinweis darauf, dass der Schadcode von Hand geschrieben und nicht automatisch durch ein KI-System erzeugt wurde.
Für die Steuerung tarnt sich ChocoPoC laut Bericht im normalen Netzwerkverkehr. Die Malware bezieht ihre Anweisungen aus einem Datensatz bei Mapbox, also einem regulären Kartendienst, der hier als toter Briefkasten dient. Die Adresse wird über DNS-over-HTTPS aufgelöst, zusätzlich kommt ein Domain-Fronting-Trick zum Einsatz, sodass der Datenverkehr wie gewöhnliche Aufrufe der Mapbox-API aussieht. Größere Uploads gehen an einen separaten Server unter der Adresse 91.132.163.78.
YesWeHack und Sekoia identifizierten nach eigenen Angaben mindestens sieben gefälschte PoC-Repositories, die jeweils an prominente Schwachstellen angelehnt waren. Allein das Paket skytext wurde rund 2.400 Mal heruntergeladen, überwiegend unter Linux. Die Forscher betonen, dass Download-Zahlen keinen Beleg für tatsächliche Infektionen darstellen. Auffällig sei jedoch, dass die Abrufe jeweils kurz nach der Veröffentlichung bedeutender CVEs angestiegen seien, was zum Köder der Kampagne passe.
Sekoia führt die Aktivität auf einen bereits früher beobachteten Strang zurück. Eine ältere Ausführung derselben Kampagne, die bis Ende 2025 zurückreiche, habe zwei weitere Pakete verwendet: slogsec und logcrypt.cryptography. Deren Code sei nahezu identisch gewesen. Auf Basis wiederverwendeter Kontrollmarker schreibt Sekoia mit hoher Sicherheit beide Wellen demselben Akteur zu. Einen bekannten Gruppennamen nennen die Forscher nicht. Nach ihrer Einschätzung wechselte der Betreiber zwischen Konten bei GitHub, PyPI und Mapbox; mehrere davon seien mit geleakten oder gestohlenen Zugangsdaten aufgebaut worden.
Warum Sicherheitsforscher ein besonders lohnendes Ziel sind, benennen die Autoren klar: Sie führen regelmäßig nicht vertrauenswürdigen Code aus, oft mit weitreichenden Rechten, und ihre Systeme enthalten Zugangsdaten von Kunden, vertrauliche Berichte und Details zu laufenden Einsätzen. Als Beispiel verweisen sie auf die Kampagne MUT-1244, bei der gefälschte PoC-Repositories SSH-Schlüssel und Cloud-Zugangsdaten von Red Teamern und Forschern stahlen.
Neu ist laut dem Bericht weniger die Schadsoftware selbst als deren Versteck. Bereits zuvor hätten Akteure ähnliche Methoden genutzt: Die Lazarus-Gruppe aus Nordkorea habe über Jahre Forscher angesprochen, sich 2021 als andere Bug Hunter ausgegeben und schädliche Visual-Studio-Projekte verbreitet; 2023 habe sie gegen dieselbe Zielgruppe einen Zero-Day eingesetzt. Trend Micro wiederum fand Anfang 2025 einen gefälschten PoC für eine Windows-LDAP-Schwachstelle, CVE-2024-49113, der Forscherdaten stahl. Später im Jahr beobachtete Trend Micro zudem eine separate Kampagne mit gefälschten CVE-PoCs, die einen Trojaner namens WebRAT verteilten und vor allem Studenten und weniger erfahrene Tester trafen.
Den eigentlichen Mehrwert von ChocoPoC sehen YesWeHack und Sekoia daher in der Zustellung über Abhängigkeiten. Der PoC, den ein Forscher liest, bleibt sauber; die Schadsoftware sitzt darunter. Oder, wie die Forscher es formulieren: Die Malware selbst sei nichts Neues, „doch was sich verändert, ist der Auslieferungsmechanismus“. Sekoia warnt darüber hinaus vor einem doppelten Lieferketteneffekt: Wird ein Forscher kompromittiert, könne manipulierter Code in Frameworks wie Nuclei oder MDUT gelangen, denen wiederum Tausende andere Nutzer vertrauen.