Nel catalogo PyPI (Python Package Index) sono stati individuati diversi pacchetti contenenti codice per mining nascosto di criptovalute. I problemi erano presenti nei pacchetti maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib e learninglib, i cui nomi sono stati scelti per essere simili a quelli delle popolari librerie (matplotlib), con l'intenzione che l'utente potesse commettere un errore di battitura e non notare le differenze (typosquatting). I pacchetti sono stati pubblicati ad aprile con l'account nedog123 e, in due mesi, sono stati scaricati circa 5.000 volte.
Il codice malevolo è stato inserito nella libreria maratlib, utilizzata negli altri pacchetti come dipendenza. Questo codice malevolo era nascosto utilizzando un proprio meccanismo di offuscamento, non rilevabile dalle utilità standard, e veniva eseguito durante l'esecuzione dello script di installazione setup.py, eseguito durante l'installazione del pacchetto. Dallo script setup.py veniva scaricato un bash script aza.sh da GitHub, il quale a sua volta scaricava ed eseguiva le applicazioni di mining di criptovalute Ubqminer o T-Rex.
Fonte: opennet.ru
