No diretório PyPI (Python Package Index), foram encontrados vários pacotes que incluem código para mineração oculta de criptomoedas. Os problemas estavam nos pacotes maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib e learninglib, cujos nomes foram escolhidos para serem semelhantes aos de bibliotecas populares (matplotlib), com a expectativa de que o usuário cometesse um erro ao escrever e não percebesse as diferenças (type-squatting). Os pacotes foram publicados em abril sob a conta nedog123 e, em dois meses, foram baixados cerca de 5 mil vezes.
O código malicioso foi inserido na biblioteca maratlib, que era utilizada nos outros pacotes como uma dependência. O código malicioso foi ocultado utilizando um mecanismo próprio de ofuscação, que não é detectado por utilitários padrão, e era executado durante a execução do script de instalação setup.py, que é executado quando o pacote é instalado. O script setup.py baixava um script bash aza.sh do GitHub, que por sua vez baixava e executava aplicações de mineração de criptomoedas, como Ubqminer ou T-Rex.
Fonte: opennet.ru
