Télécharger un exploit sur GitHub, c’est parfois inviter le loup dans la bergerie. Plusieurs preuves de concept (PoC) publiées sur la plateforme se sont révélées piégées : au lieu de démontrer une faille, elles installaient un cheval de Troie d’accès distant écrit en Python, baptisé ChocoPoC.
Points clés
- Des PoC piégées sur GitHub diffusaient ChocoPoC, un RAT écrit en Python.
- Le malware exécute des commandes à distance et exfiltre des données sensibles.
- Les cibles sont surtout des chercheurs et développeurs manipulant des exploits.
Un cadeau empoisonné pour chercheurs pressés
Le principe est aussi simple qu’efficace. Un attaquant publie sur GitHub un exploit alléchant, censé illustrer une vulnérabilité connue. Le chercheur ou l’administrateur système récupère le code, l’exécute pour tester sa validité, et déclenche sans le savoir l’installation de ChocoPoC. Le RAT (remote access trojan) s’invite alors sur la machine avec ses deux talents maison : exécuter des commandes à distance et exfiltrer des données sensibles.
La cible : ceux qui devraient s’y connaître
L’ironie ne manque pas de sel. Ces PoC trojanisées ne visent pas monsieur Tout-le-monde mais précisément le public censé être le plus averti en matière de sécurité : les analystes, les équipes red team, les développeurs qui manipulent des exploits au quotidien. Autant de profils qui ont souvent accès à des systèmes juteux et à des identifiants qui valent de l’or.
Rappel utile : un PoC n’est pas un jouet
La leçon est vieille comme le monde du logiciel : le code trouvé en ligne s’exécute dans un environnement isolé (machine virtuelle, conteneur, bac à sable), jamais directement sur le poste de travail. Lire le code avant de le lancer reste le réflexe le plus élémentaire. Un exploit qui, en plus de sa charge annoncée, contacte un serveur distant ou télécharge un composant Python en douce mérite un sérieux haussement de sourcil.
