Im Katalog PyPI (Python Package Index) wurde die Bibliothek pymafka entdeckt, die schädlichen Code enthält. Diese Bibliothek wurde unter einem Namen vertrieben, der dem beliebten Paket pykafka ähnlich ist, in der Annahme, dass unaufmerksame Benutzer das Betrugs-Paket mit dem Hauptprojekt verwechseln (Typosquatting). Das schädliche Paket wurde am 17. Mai veröffentlicht und bis zur Sperrung 325 Mal heruntergeladen.
Innerhalb des Pakets befand sich ein Skript "setup.py", das den Plattformtyp festlegte und spezifische Trojaner-Komponenten für Windows, macOS und Linux herunterlud. Für Windows und macOS wurde eine Komponente, die auf dem Cobalt-Strike-Toolset basierte, in die Verzeichnisse "C:\Users\Public\iexplorer.exe" und "/var/tmp/zad" hochgeladen, um Angriffe auf das System des Benutzers durchzuführen, welches nach der Ausführung periodisch Anfragen an einen externen Server sendete. der ServerIn Linux wurde die ausführbare Datei "env" heruntergeladen und ausgeführt, deren Inhalt nicht analysiert werden konnte, da der Host, von dem der Downloadversuch unternommen wurde, zum Zeitpunkt der Analyse bereits gesperrt war.
Quelle: opennet.ru
