Im Katalog PyPI (Python Package Index) wurde die Bibliothek pymafka entdeckt, die schÀdlichen Code enthÀlt. Diese Bibliothek wurde unter einem Namen vertrieben, der dem beliebten Paket pykafka Àhnlich ist, in der Annahme, dass unaufmerksame Benutzer das Betrugs-Paket mit dem Hauptprojekt verwechseln (Typosquatting). Das schÀdliche Paket wurde am 17. Mai veröffentlicht und bis zur Sperrung 325 Mal heruntergeladen.
Innerhalb des Pakets befand sich ein Skript "setup.py", das den Plattformtyp festlegte und spezifische Trojaner-Komponenten fĂŒr Windows, macOS und Linux herunterlud. FĂŒr Windows und macOS wurde eine Komponente, die auf dem Cobalt-Strike-Toolset basierte, in die Verzeichnisse "C:\Users\Public\iexplorer.exe" und "/var/tmp/zad" hochgeladen, um Angriffe auf das System des Benutzers durchzufĂŒhren, welches nach der AusfĂŒhrung periodisch Anfragen an einen externen Server sendete. der ServerIn Linux wurde die ausfĂŒhrbare Datei "env" heruntergeladen und ausgefĂŒhrt, deren Inhalt nicht analysiert werden konnte, da der Host, von dem der Downloadversuch unternommen wurde, zum Zeitpunkt der Analyse bereits gesperrt war.
Quelle: opennet.ru
