これら3つのパッケージ(「libpeshnx」「libpesh」「libari」)は、同じユーザー(名前はruri12)によって作成されており、2017年11月以降、20カ月近くにわたってPyPIからダウンロード可能な状態にあった。2019年7月に入って、これらのパッケージは、ReversingLabsのセキュリティ研究者らによって発見された。 ReversingLabsは7月9日、PyPIのリポジトリメンテナーに通報し、PyPIのセキュリティチームはその日のうちにこれらのパッケージを削除した。 どのパッケージにも説明が記載されておらず、目的を特定するのは不可能だ。しかしPyPIの統計を見ると、これらのパッケージは定期的にダウンロードされており、それぞれが毎月何十回もインストールされていることが分かる。 悪意あるコードは、Linuxシステムにインストールされたときにのみ動きのある単純なバッ
![悪意ある「Python」ライブラリーがPyPIで発見される--研究者が報告](https://cdn-ak-scissors.b.st-hatena.com/image/square/6caec9fbc82e9a7c0fc5f5933dce3779c4a16c53/height=288;version=1;width=512/https%3A%2F%2Fjapan.zdnet.com%2Fstorage%2F2019%2F07%2F18%2F3e7524d3fda90650b0a57e70f702800e%2Flarge-105678.jpg)