V katalógu PyPI (Python Package Index) bolo zistených niekoľko balíkov, ktoré obsahujú kód na skrytú ťažbu kryptomeny. Problémy sa vyskytli v balíkoch maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib a learninglib, ktorých názvy sú podobné populárnym knihovňam (matplotlib) s predpokladom, že sa používateľ pri písaní pomýli a nevšimne si rozdiely (typografické chyby). Balíky boli zverejnené v apríli pod účtom nedog123 a za dva mesiace boli stiahnuté približne 5000-krát.
Malvérový kód bol umiestnený v knižnici maratlib, ktorá bola používaná v ostatných balíkoch ako závislosť. Malvérový kód bol skrytý pomocou vlastného obfuskačného mechanizmu, ktorý nebol identifikovateľný bežnými nástrojmi, a bol spúšťaný pri vykonávaní skriptu setup.py, ktorý sa vykonával počas inštalácie balíka. Z setup.py sa načítaval bash skript aza.sh z GitHubu, ktorý načítal a spustil aplikácie na ťažbu kryptomeny Ubqminer alebo T-Rex.
Zdroj: opennet.ru
