A PyPI (Python Package Index) katalogban több olyan csomagot azonosítottak, amelyek rejtett kriptovaluta-bányászati kódot tartalmaznak. A problémák a maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib és learninglib csomagokban voltak, melyek neveit a népszerű matplotlib könyvtárhoz hasonlóan választották, számítva arra, hogy a felhasználó téved a beírás során és nem veszi észre a különbségeket (type-squatting). A csomagokat áprilisban töltötték fel a nedog123 fiók alatt, és két hónap alatt összesen körülbelül 5000 alkalommal töltötték le.
A kártevő kód a maratlib könyvtárban volt elhelyezve, amelyet a többi csomagban függőség formájában használtak fel. A kártevő kódot egy saját obfuszkációs mechanizmussal rejtették el, amelyet a tipikus eszközök nem ismernek fel, és a csomag telepítése során futó setup.py build script végrehajtásakor indult el. A setup.py-ból a GitHub-ról egy aza.sh bash skriptet töltöttek le és futtattak, amely viszont kriptovaluta-bányászati alkalmazásokat, az Ubqminer-t vagy a T-Rex-et töltötte le és indította el.
Forrás: opennet.ru
