В каталога PyPI (Python Package Index) бяха открити няколко пакета, включващи код за скрит добив на криптовалути. Проблемите бяха установени в пакетите maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib и learninglib, чиито имена са избрани да бъдат сходни на популярната библиотека (matplotlib), с надеждата, че потребителят ще допусне грешка при написването и няма да забележи разликите (тайпсквоттинг). Пакетите бяха публикувани през април с потребителско име nedog123 и в рамките на два месеца бяха изтеглени около 5000 пъти.
Зловредният код беше разположен в библиотеката maratlib, която също така се ползваше в останалите пакети като зависимост. Зловредният код беше скрит с помощта на собствен механизъм за обфускатор, който не може да бъде открит от типичните инструменти и се изпълняваше при стартиране на скрипта за инсталация setup.py, който се изпълнява по време на инсталиране на пакета. От setup.py се изтегляше файл от GitHub и се стартираше bash-скрипт aza.sh, който от своя страна изтегляше и стартираше приложения за добив на криптовалути Ubqminer или T-Rex.
Източник: opennet.ru
