Rien de tel que d’empoisonner ceux qui traquent le poison. Une campagne malveillante a été repérée sur GitHub, où de faux exploits de type proof-of-concept (PoC) cachaient en réalité un cheval de Troie. Baptisé ChocoPoC, ce logiciel espion écrit en Python vise, ironie du sort, les chercheurs en cybersécurité eux-mêmes.
Points clés
- De faux exploits PoC hébergés sur GitHub déploient un malware nommé ChocoPoC
- Ce cheval de Troie écrit en Python exécute des commandes et vole des données sensibles
- La campagne cible spécifiquement les chercheurs en cybersécurité
Un PoC qui n’a de PoC que le nom
Un proof-of-concept, c’est ce bout de code qui démontre publiquement qu’une faille est exploitable. Les chercheurs en récupèrent en permanence pour tester, analyser et se prémunir. C’est précisément cette habitude professionnelle que les attaquants ont décidé de retourner contre eux.
Plusieurs dépôts hébergeaient donc des exploits piégés. Au lieu de faire ce qu’ils prétendaient, ces scripts déployaient ChocoPoC, un cheval de Troie d’accès à distance (RAT) capable d’exécuter des commandes sur la machine infectée et de siphonner des données sensibles.
Une cible choisie avec soin
Le mode opératoire trahit l’intention : viser les analystes en sécurité, un public à la fois technique et détenteur d’informations précieuses. Compromettre un chercheur, c’est potentiellement mettre la main sur ses travaux, ses accès et ses cibles.
La leçon est vieille comme le monde du logiciel libre : un dépôt public n’est pas un gage de confiance, et le code téléchargé mérite une lecture avant l’exécution. Même (surtout) quand on est censé être du bon côté de la barrière.
