OpenSSF 恶意包库收录 PyPI 包 qowa：伪装工具实为 C2 服务端与代理

OpenSSF 恶意包库新增 PyPI 包 qowa 0.1.0 的恶意记录，该包伪装成通用工具，实际提供带预置凭据的 C2 服务端与代理。记录将其归类为恶意活动 2026-10-qowa，理由包括 RAT、类间谍软件、针对 Android、通过 Telegram 机器人执行远程命令及文件窃取。该条目由 Kamil Mańkowski（kam193）报告。