V katalogu PyPI (Python Package Index) bylo zjištěno několik balíčků, které obsahují kód pro skrytý mining kryptoměn. Problémy se vyskytovaly v balíčcích maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib a learninglib, jejichž názvy byly zvoleny tak, aby byly podobné populárním knihovnám (matplotlib), v domnění, že si uživatel při psaní udělá chybu a rozdílů si nevšimne (typosquatting). Balíčky byly zveřejněny v dubnu pod účtem nedog123 a během dvou měsíců byly staženy přibližně 5000krát.
Malware byl umístěn v knihovně maratlib, která byla používána v ostatních balíčcích jako závislost. Malicious kód byl skryt pomocí vlastního mechanismu obfuscace, který nebyl rozpoznán běžnými nástroji, a spouštěn při provádění skriptu setup.py, který je vykonáván během instalace balíčku. Ze setup.py byl stažen z GitHubu a spuštěn bash skript aza.sh, který následně stahoval a spouštěl aplikace pro mining kryptoměn Ubqminer nebo T-Rex.
Zdroj: opennet.ru
