Две злонамерени библиотеки са открити в директорията с пакети на PyPI Python

В директорията на пакета на Python PyPI (индекс на пакета на Python) открит злонамерени пакети"python3-dateutil"И"медуза", които бяха качени от един автор olgired2017 и маскирани като популярни пакети "dateutil"И"медуза" (различава се от използването на символа "I" (i) вместо "l" (L) в името). След инсталиране на посочените пакети, ключовете за криптиране и поверителни потребителски данни, намерени в системата, бяха изпратени до сървъра на атакуващия. Проблемните пакети вече са премахнати от директорията на PyPI.

Самият злонамерен код присъстваше в пакета "jeIlyfish", а пакетът "python3-dateutil" го използваше като зависимост.
Имената са избрани въз основа на невнимателни потребители, които са направили печатни грешки при търсене (typosquatting). Злонамереният пакет „jeIlyfish“ беше изтеглен преди около година, на 11 декември 2018 г., и остана неоткрит. Пакетът "python3-dateutil" беше качен на 29 ноември 2019 г. и няколко дни по-късно предизвика подозрение сред един от разработчиците. Не се предоставя информация за броя на инсталациите на злонамерени пакети.

Пакетът на jellyfish включваше код, който изтегля списък с „хешове“ от външно хранилище, базирано на GitLab. Анализът на логиката за работа с тези „хешове“ показа, че те съдържат скрипт, кодиран с помощта на функцията base64 и стартиран след декодиране. Скриптът намери SSH и GPG ключове в системата, както и някои типове файлове от домашната директория и идентификационни данни за PyCharm проекти, след което ги изпрати на външен сървър, работещ в облачната инфраструктура на DigitalOcean.

Източник: opennet.ru