Вредоносный пакет, размещённый в репозитории PyPI, перехватывает торговые ордера, отправляемых на криптовалютную биржу MEXC.

Пакет получил название «ccxt-mexc-futures» и маскируется под расширение популярной библиотеки «ccxt», которая используется для автоматизации операций с различными криптовалютными площадками.

На первый взгляд, библиотека якобы предназначена для поддержки фьючерсной торговли на платформе MEXC. В README-файле злоумышленники указали, что их код дополняет существующий функционал «ccxt». Однако более глубокий анализ показал, что пакет подменяет критически важные API-методы.

Такие манипуляции позволили обмануть разработчиков: при вызове API с целью открытия, отмены или размещения ордера на MEXC в реальности происходила скрытая отправка запросов на подставной сервер. Благодаря этому вредоносный код мог исполняться локально, подгружая конфигурации с фальшивого домена «v3.mexc.workers[.]dev».

Этот домен, маскирующийся под настоящий ресурс MEXC, направлял трафик на «greentreeone[.]com» — ресурс, полностью контролируемый злоумышленниками. В результате все действия, включая торговлю и передаваемые ключи API, отправлялись напрямую атакующим. Таким образом, они получали полный доступ к торговым операциям и данным пользователей.

Инцидент произошёл на фоне более широкой тенденции, связанной с активным использованием фальшивых пакетов в экосистемах npm, PyPI, Go и Maven. Злоумышленники всё чаще прибегают к методам внедрения удалённых оболочек, обеспечивая себе постоянный доступ к системам и возможность кражи данных.

https://www.itsec.ru/news/vredonosniy-paket-razmeshionniy-v-reposiotrii-pypi