{"id":1398,"date":"2026-07-02T08:06:56","date_gmt":"2026-07-02T08:06:56","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/02\/el-nuevo-chocopoc-rat-apunta-a-investigadores-de-vulnerabilidades-a-traves-de-repositorios-de-exploits-poc-falsos-cyberdefensa-mx\/"},"modified":"2026-07-02T08:06:56","modified_gmt":"2026-07-02T08:06:56","slug":"el-nuevo-chocopoc-rat-apunta-a-investigadores-de-vulnerabilidades-a-traves-de-repositorios-de-exploits-poc-falsos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/02\/el-nuevo-chocopoc-rat-apunta-a-investigadores-de-vulnerabilidades-a-traves-de-repositorios-de-exploits-poc-falsos-cyberdefensa-mx\/","title":{"rendered":"El nuevo ChocoPoC RAT apunta a investigadores de vulnerabilidades a trav\u00e9s de repositorios de exploits PoC falsos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los atacantes esconden un troyano que roba datos dentro de un c\u00f3digo de explotaci\u00f3n falso dirigido a las personas que se ganan la vida cazando errores. El malware, llamado ChocoPoC<\/b>viaja en repositorios de prueba de concepto (PoC) de Python en GitHub que afirman explotar nuevos CVE.<\/p>\n

Ejecute uno y extraer\u00e1 silenciosamente sus contrase\u00f1as guardadas, cookies del navegador y archivos, y luego le entregar\u00e1 al atacante un shell en su m\u00e1quina. YesWeHack y Sekoia<\/a> publicaron sus hallazgos conjuntos el 1 de julio y advirtieron que, a partir de ese informe, el malware y sus servidores todav\u00eda estaban activos, por lo que no ejecute ninguna de estas PoC.<\/p>\n

El truco est\u00e1 en d\u00f3nde se encuentra el c\u00f3digo. El PoC visible parece limpio. El malware se esconde en un paquete de Python que el PoC incorpora como una dependencia, por lo que pasa desapercibido en una revisi\u00f3n r\u00e1pida del c\u00f3digo.<\/p>\n

C\u00f3mo funciona la trampa<\/h2>\n

El cebo es la presi\u00f3n del tiempo. Cuando surge una falla importante, los investigadores se apresuran a probarla y a obtener PoC de la comunidad para actuar r\u00e1pidamente. Esta campa\u00f1a convierte ese h\u00e1bito en una v\u00eda de infecci\u00f3n.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La cadena, en t\u00e9rminos sencillos:<\/p>\n

    \n
  1. Clona el repositorio y ejecuta pip install para obtener los requisitos de PoC.<\/li>\n
  2. Eso atrae un paquete llamado frint, que a su vez arrastra un segundo paquete, skytext.<\/li>\n
  3. skytext incluye un peque\u00f1o archivo compilado (gradient.so en Linux, gradient.pyd en Windows) que se ejecuta en el momento en que inicia el PoC.<\/li>\n
  4. Solo se despierta cuando ve el PoC real cargado, busca un archivo llamado EXPLOIT_POC.py o similar, luego descomprime su carga \u00fatil y descarga el troyano.<\/li>\n<\/ol>\n

    Esa \u00faltima comprobaci\u00f3n es la raz\u00f3n por la que un sandbox simple no ve nada. Detona el paquete por s\u00ed solo, sin el PoC completo a su alrededor, y el malware permanece inactivo.<\/p>\n

    Lo que roba y hace<\/h2>\n

    Una vez en ejecuci\u00f3n, ChocoPoC es un troyano de acceso remoto completo. Extrae contrase\u00f1as guardadas, cookies, autocompletar e historial de Chrome, Brave, Edge y Firefox. Toma archivos de texto, notas y bases de datos locales, junto con el historial del shell, la configuraci\u00f3n de red y la lista de procesos en ejecuci\u00f3n.<\/p>\n

    \"\"<\/a><\/div>\n

    El atacante tambi\u00e9n puede ejecutar cualquier comando de shell, ejecutar Python arbitrario, extraer carpetas enteras y ralentizar el malware para permanecer en silencio. Varios nombres de comandos est\u00e1n en espa\u00f1ol y el c\u00f3digo contiene peque\u00f1os errores, que los investigadores interpretan como escritos a mano en lugar de generados por IA.<\/p>\n

    Para controlarlo, el malware se esconde a simple vista. Lee sus \u00f3rdenes de un conjunto de datos en Mapbox, un servicio de mapas normal, y lo utiliza como punto muerto. Resuelve esa direcci\u00f3n a trav\u00e9s de DNS sobre HTTPS y utiliza un truco de dominio frontal, por lo que el tr\u00e1fico parece llamadas API de Mapbox normales. Las cargas m\u00e1s grandes van a un servidor separado en 91.132.163.78.<\/p>\n

    \u00bfHasta d\u00f3nde se ha extendido?<\/h2>\n

    YesWeHack y Sekoia encontraron al menos siete repositorios PoC falsos, cada uno vinculado a una falla de alto perfil:<\/p>\n