ChocoPoC RAT: sahte PoC exploit repo'larıyla güvenlik araştırmacılarını avlıyor
YesWeHack ve Sekoia'nın 1 Temmuz'da açıkladığı ChocoPoC kampanyası, GitHub'da 'yeni CVE'leri exploit eden' Python PoC repo'ları kılığında yayılıyor. Kötücül kod, PoC'nin bağımlılık olarak çektiği bir Python paketinin içinde gizli — hızlı kod incelemesinden kaçıyor. Chrome, Brave, Edge ve Firefox'tan kayıtlı parola, çerez ve geçmişi; metin dosyaları, notlar ve yerel veritabanlarını çalıyor. Komutlarını Mapbox üzerinde bir veri kümesinden okuyor (dead-drop) ve DNS-over-HTTPS + domain-fronting ile trafiği sıradan Mapbox API çağrısı gibi gösteriyor.
Güvenlik araştırmacıları, kendi meslektaşlarını hedef alan sinsi bir kampanyayı açığa çıkardı. ChocoPoC adlı uzaktan erişim truva atı (RAT), “yeni ve popüler CVE’leri exploit eden” sahte Python PoC repo’ları kılığında GitHub’da dolaşıyor. YesWeHack ve Sekoia ortak bulgularını 1 Temmuz’da yayımladı.
Nasıl gizleniyor
Kötücül kod, PoC’nin bağımlılık olarak çektiği bir Python paketinin içinde saklı — böylece hızlı bir kod incelemesinden kolayca kaçıyor. Çalıştırıldığında:
- Chrome, Brave, Edge, Firefox’tan kayıtlı parola, çerez, otomatik-doldurma ve geçmiş verilerini çalıyor.
- Metin dosyaları, notlar, yerel veritabanları; kabuk geçmişi, ağ ayarları ve çalışan süreç listesini topluyor.
Neden yakalanması zor
ChocoPoC komutlarını Mapbox (sıradan bir harita servisi) üzerindeki bir veri kümesinden okuyor — bir “dead-drop” olarak kullanıyor. Bu adresi DNS-over-HTTPS üzerinden çözüyor ve domain-fronting hilesiyle trafiği tamamen normal Mapbox API çağrıları gibi gösteriyor.
Neden önemli
Geliştirme ve araştırma sırasında GitHub’dan kod ve paket çeken herkes için net dersler var: (1) “exploit PoC” kılıklı repo’ları asla üretim veya kimlik-dolu bir ortamda çalıştırmamak — izole/tek-kullanımlık kap kullanmak; (2) bağımlılıkları pin’lemek ve gözden geçirmek (aynı npm/pip tedarik-zinciri hijyeni); (3) kritik kimlik bilgilerini kabuk ortamında serbestçe tutmamak. Bu kampanya tam da tarayıcı-sırlarını ve kabuk geçmişini hedefliyor.
Geliştirme ve araştırma sırasında GitHub'dan kod ve paket çeken herkes için ders: 'exploit PoC' kılıklı repo'ları asla üretim veya kimlik-dolu ortamda çalıştırmamak; bağımlılıkları pin'lemek ve incelemek (npm/pip supply-chain hijyeni). Kampanya tarayıcı sırlarını hedefliyor — kritik kimlikler kabuk ortamında saklanmamalı.
- The Hacker News — New ChocoPoC RAT Targets Vulnerability Researchers via Fake PoC Exploit Repos · 2026-07-01
- BleepingComputer — New ChocoPoC malware targets researchers via trojanized PoC exploits · 2026-07-01
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.