Код для скрытого майнинга криптовалюты был найден в 11 библиотеках с открытым исходным кодом, написанных на языке программирования Ruby. Библиотеки распространялись через платформу RubyGems и были скачены более трех с половиной тысяч раз.
Хакеры скачали библиотеки, внедрили в них вредоносный код и повторно разместили их на RubyGems. Вредоносный код был замечен одним из пользователей GitHub. Он обнаружил, что при запуске библиотека загружала дополнительный код из службы текстового хостинга Pastebin, который затем запускал майнинг. Кроме того, вредоносный код также отправлял злоумышленнику адрес зараженного хоста и переменную среды, которая хранит данные о системе.
Пять из 11 зараженных библиотек содержали вполне конкретные имена, такие как doge-coin, bitcoin_vanity, coin_base и blockchain_wallet. Причем библиотеки с упоминанием coin_base и blockchain_wallet оказались самыми скачиваемыми — 424 и 423 загрузок, соответственно.
