Nel catalogo PyPI (Python Package Index) è stata identificata una libreria chiamata pymafka, contenente codice malevolo. La libreria è stata distribuita con un nome simile al pacchetto popolare pykafka, con l'intento di confondere gli utenti distratti e farli scambiare il pacchetto fasullo con il progetto originale (typosquatting). Il pacchetto malevolo è stato pubblicato il 17 maggio ed è stato scaricato 325 volte prima della sua rimozione.
All'interno del pacchetto si trovava uno script "setup.py" che determinava il tipo di piattaforma e scaricava componenti troianici specifici per Windows, macOS e Linux. Per Windows e macOS, un componente per l'attacco al sistema dell'utente, basato su un toolkit di Cobalt Strike, veniva caricato nelle cartelle "C:\Users\Public\iexplorer.exe" e "/var/tmp/zad", il quale, una volta avviato, inviava periodicamente richieste verso un esterno. un server. Su Linux veniva scaricato e avviato un file eseguibile "env", il cui contenuto non è stato possibile analizzare poiché al momento dell'analisi l'host da cui si tentava il download era già stato bloccato.
Fonte: opennet.ru
