OceanLotus voert een supply chain-aanval uit via PyPI met malafide Python-pakketten die de nieuwe malwarefamilie ZiChatBot verspreiden.
Onderzoekers ontdekten dat sinds juli 2025 meerdere kwaadaardige wheel-pakketten zijn geüpload naar PyPI, de Python Package Index. Deze pakketten, die ogenschijnlijk legitieme functionaliteit bieden, blijken in werkelijkheid ontworpen om de malwarefamilie ZiChatBot te verspreiden. De malware richt zich zowel op Windows- als Linux-platformen en wordt geleverd via zogenoemde droppers in de vorm van .DLL- of .SO-bestanden. De campagne is gekoppeld aan de APT-groep OceanLotus en betreft een zorgvuldig uitgevoerde supply chain-aanval.
De aanvallers creëerden drie projecten op PyPI die populaire bibliotheken imiteren om gebruikers te misleiden tot installatie. De kwaadaardige pakketten, waaronder uuid32-utils, colorinal en termncolor, bevatten verborgen malware. Zo importeert het schijnbaar onschuldige termncolor-pakket de malafide colorinal-bibliotheek als afhankelijkheid, wat de detectie bemoeilijkt. Na installatie van bijvoorbeeld colorinal wordt een dropper met de naam terminate.dll uitgepakt, die de uiteindelijke ZiChatBot-malware activeert. In tegenstelling tot traditionele malware communiceert ZiChatBot niet met een dedicated command and control-server, maar maakt het gebruik van REST API’s van de publieke teamchatapp Zulip als commandostructuur.
