Nel catalogo PyPI (Python Package Index) è stata identificata una libreria pymafka contenente codice dannoso. La libreria è stata distribuita con un nome simile a quello del pacchetto popolare pykafka, con l'intento che gli utenti distratti confondessero il pacchetto di intrusione con il progetto principale (typosquatting). Il pacchetto dannoso è stato caricato il 17 maggio ed è stato scaricato 325 volte prima della sua rimozione.
All'interno del pacchetto era presente uno script 'setup.py', che identificava il tipo di piattaforma e scaricava componenti trojan specifici per Windows, macOS e Linux. Per Windows e macOS, veniva caricato un componente per attaccare il sistema dell'utente nelle directory 'C:\Users\Public\iexplorer.exe' e '/var/tmp/zad', basato su Cobalt Strike, che dopo l'avvio inviava periodicamente richieste esterne. server. In Linux, veniva caricato e avviato il file eseguibile 'env', il cui contenuto non è stato possibile analizzare poiché al momento dell'analisi l'host da cui si tentava il download era già stato bloccato.
Fonte: opennet.ru
