K­r­i­p­t­o­ ­M­a­d­e­n­c­i­l­e­r­i­y­l­e­ ­L­i­n­u­x­’­u­ ­H­e­d­e­f­l­e­y­e­n­ ­3­ ­K­ö­t­ü­ ­A­m­a­ç­l­ı­ ­P­y­P­I­ ­P­a­k­e­t­i­ ­B­u­l­u­n­d­u­

Kötü amaçlı kod, uzaktaki bir sunucunun kodunu çözen ve ilk aşamayı alan __init__.py dosyasında, madencilik faaliyeti için bir yapılandırma dosyasının yanı sıra CoinMiner dosyasını da getiren bir kabuk betiği (“unmi.sh”) bulunur. GitLab’da barındırılıyor.

ELF ikili dosya daha sonra arka planda kullanılarak yürütülür. nohup komutuböylece oturumdan çıktıktan sonra sürecin çalışmaya devam etmesi sağlanır.

Xiong, “Daha önceki ‘culturestreak’ paketinin yaklaşımını tekrarlayan bu paketler, yüklerini gizliyor ve kötü amaçlı kodlarını uzak bir URL’de barındırarak tespit edilebilirliğini etkili bir şekilde azaltıyor.” dedi. “Daha sonra yük, kötü niyetli faaliyetlerini yürütmek için çeşitli aşamalarda aşamalı olarak serbest bırakılır.”

Culturestreak paketine olan bağlantılar aynı zamanda yapılandırma dosyasının papiculo etki alanında barındırılmasından da kaynaklanmaktadır.[.]net ve madeni para madenciliği yürütülebilir dosyaları halka açık bir GitLab deposunda barındırılıyor.