微软：Mistral AI软件下载包被植入恶意代码，窃取开发者凭证

微软威胁情报团队表示，攻击者将恶意代码植入Mistral AI通过PyPI分发的软件包中。当开发者在Linux系统上使用该软件时，恶意代码会自动运行，从远程服务器下载名为transformers.pyz的恶意文件并在后台执行，该文件名刻意模仿广泛使用的Hugging Face Transformers库。微软称该恶意程序主要窃取开发者登录信息和访问令牌，并会避开俄语系统，对位于以色列或伊朗的部分系统可能随机删除文件。该攻击与自9月开始的“Shai-Hulud”恶意软件供应链攻击相关。(Decrypt)