В каталога на пакети Python PyPI (Python Package Index) вредоносни пакети «» и „«, които са били качени от един автор olgired2017 и са се маскирали като популярни пакети «» и „» (различават се по употребата на символа «I» (i) вместо «l» (L) в името). След инсталацията на посочените пакети, на сървъра на нападателя са били изпратени намерените в системата ключове за шифроване и конфиденциални данни на потребителя. В момента проблемните пакети вече са премахнати от каталога PyPI.
Пряко вредоносният код е присъствал в пакета «jeIlyfish», а пакетът «python3-dateutil» е използвал него като зависимост.
Имената са били избрани с оглед на небрежни потребители, които допускат печатни грешки при търсене (). Вредоносният пакет «jeIlyfish» е бил качен преди около година — на 11 декември 2018 година и е останал незабелязан. Пакетът «python3-dateutil» е качен на 29 ноември 2019 година и след няколко дни е предизвикал подозрение у един от разработчиците. Информация за броя на инсталациите на вредоносните пакети не се предоставя.
Пакетът jellyfish е включвал код, който зарежда списък с «хешове» от външен репозиториум на база GitLab. Разборът на логиката на работа с тези «хешове» показа, че те съдържат скрипт, кодиран с помощта на функцията base64 и изпълняван след декодиране. Скриптът е намирал в системата SSH и GPG ключове, както и определени видове файлове от домашната директория и учетни данни за проекти в PyCharm, след което ги е изпращал на външен сървър, стартиран в облачната инфраструктура DigitalOcean.
Източник: opennet.ru
