I kataloget PyPI (Python Package Index) er der identificeret flere pakker, som indeholder kode til skjult minedrift af kryptovaluta. Problemerne var til stede i pakkerne maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib og learninglib, hvis navne er valgt, fordi de ligner de populære biblioteker (matplotlib), i håbet om at brugeren ville skrive forkert og ikke ville bemærke forskellene (typosquatting). Pakkerne blev uploadet i april under kontoen nedog123 og blev i alt downloadet omkring 5.000 gange på to måneder.
Den ondsindede kode blev indlejret i biblioteket maratlib, som blev brugt i de øvrige pakker som en afhængighed. Koden var skjult ved hjælp af et eget obfuskationssystem, som ikke kunne identificeres af typiske værktøjer, og blev aktiveret under udførelsen af build-scriptet setup.py, som blev kørt under installationen af pakken. Fra setup.py blev et bash-script aza.sh hentet fra GitHub og kørt, hvilket igen hentede og startede kryptovaluta-mining-apps Ubqminer eller T-Rex.
Kilde: opennet.ru
