ChocoPocマルウェア、GitHub上のトロイの木馬化されたエクスプロイトから配布

GitHub上に存在する複数の武器化された概念実証(PoC)エクスプロイトが、コマンド実行や機密データの窃取が可能なPythonベースのリモートアクセス型トロイの木馬(RAT)「ChocoPoC」を配布していたことが分かりました。

各種脆弱性向けのPoCエクスプロイトにマルウェアを隠す手口自体は目新しいものではありません。脅威アクターが実在のセキュリティ研究者になりすましたり、話題性の高い脆弱性を利用して、脆弱性研究者やペネトレーションテスター、あるいはスキルの低いハッカーを狙う事例はこれまでにも確認されています。

しかし、ChocoPoCが特異なのは、マルウェアをエクスプロイトファイルに直接埋め込むのではなく、PoCの依存関係リストに悪意あるPythonパッケージを追加する点です。

サイバーセキュリティ企業Sekoiaの研究者によると、これらのパッケージはPythonの開発者がコードを入手・共有するために利用するプラットフォーム、Python Package Index(PyPI)上でホストされていたとのことです。

被害者が悪意あるリポジトリをクローンすると、「frint」という名前のトロイの木馬化されたパッケージが自動的に取得され、システムにインストールされる仕組みです。

インストールの過程で、このパッケージはコンパイル済みのネイティブPython拡張機能を含む悪意ある依存パッケージ「skytext」を取得します。

PoCが実行されると、この拡張機能が自動的に起動し、埋め込まれた追加のPythonコードを復号します。これによりダウンローダーが起動し、最終的なペイロードであるChocoPoCをMapboxのデータセットから取得する仕組みです。

ChocoPoC RATには、以下の機能が備わっています。

• 任意のシェルコマンドおよび任意のPythonコードの実行
• ファイルおよびディレクトリのアップロード
• ブラウザのパスワード、Cookie、自動入力データ、閲覧履歴の収集
• テキストファイル、マークダウン形式のドキュメントファイル、データベースファイルの検索
• ホストからのシェル履歴の収集
• ネットワーク設定の収集
• 実行中プロセスの列挙

Mapboxのデータセットはデータの窃取にも悪用されていますが、より大きなファイルのアップロードについては別途HTTPサーバー経由で処理されます。

Sekoiaは、ChocoPoCを配布する少なくとも7つのPoCリポジトリをGitHub上で特定しました。これらはFortiWeb(CVE-2025-64446)、React2Shell(CVE-2025-55182)、MongoBleed(CVE-2025-14847)、PAN-OS(CVE-2026-0257)、Ivanti Sentry(CVE-2026-10520)、Check Point VPN(CVE-2026-50751)、Joomla SP Page Builder(CVE-2026-48908)向けのエクスプロイトをホストしていました。

研究者らの調査によると、skytextは2,400回ダウンロードされており、その大半はLinuxベースのシステム上でのものでした。

ダウンロード数は、広く知られた脆弱性の情報開示後に急増しました。これが疑いを持たない研究者を誘い込み、当該リポジトリからPoCをダウンロードして試させる誘い文句として機能したとみられます。

Sekoiaはまた、frintとskytextが使われる以前、このキャンペーンでは「slogsec」および「logcrypt.cryptography」という2つの別のパッケージが使用されており、ソースコードは非常によく似ていて、いずれも同じChocoPoCペイロードを配布していたと報告しています。

このキャンペーンの背後にいる人物は不明ですが、研究者らはGitHubのコミッターに紐づく複数のメールアドレスが、2025年後半に確認された別のPoCエクスプロイトのトロイの木馬化活動と関連していることを突き止めました。

Sekoiaによると、キャンペーンで使用されたメールアドレスのうち2件については、その認証情報が漏洩データベース内で発見されており、さらに別の1件のログイン情報については「インフォスティーラーによる侵害に由来する可能性が極めて高い」としています。

「これらの調査結果から、攻撃者は主に侵害されたアカウントを利用して悪意あるPyPIパッケージやPoCを公開していたと、高い確度で評価しています」とSekoiaの研究者は述べています。

研究者らは、この新たなマルウェア配布手法により、エクスプロイト自体はそのまま保ちつつ、単体では無害に見えるパッケージ側に悪意ある挙動を割り当てることが可能になっている点に警鐘を鳴らしています。

脆弱性研究者やペネトレーションテスターは、悪意あるコードや検証されていないコードを日常的に実行する機会が多いため、格好の標的となります。研究者らは、GitHubのリポジトリを無条件に信用せず、検証されていないコードは必ず隔離された環境でのみ実行するよう推奨しています。