В каталога на Python пакетите PyPI са установени две злонамерени библиотеки

В каталога на Python пакети PyPI (Python Package Index) открити вредоносни пакети "python3-dateutil» и «jeIlyfish" които са били качени от един автор olgired2017 и маскирани като популярни пакети "dateutil» и «jellyfish" (различава се по използването на символа «I» (i) вместо «l» (L) в името). След инсталирането на посочените пакети на сървъра, злонамерено лица получават ключове за криптиране и конфиденциални данни на потребителя. В момента проблемните пакети вече са премахнати от каталога PyPI.

Злонамереният код е бил наличен в пакета «jeIlyfish», а пакетът «python3-dateutil» го е използвал като зависимост.
Имената са били избрани с цел да се възползват от невнимателни потребители, допускащи печатни грешки при търсене (тайпсквоттинг). Вредоносният пакет «jeIlyfish» е бил качен преди около година — 11 декември 2018 г. и е останал незабелязан. Пакетът «python3-dateutil» е качен на 29 ноември 2019 г. и след няколко дни е предизвикал подозрения у един от разработчиците. Информация за броя на инсталациите на злонамерените пакети не се предоставя.

Пакетът jellyfish е включвал код, който зарежда списък с „хешове“ от външен репозиторий, базиран на GitLab. Анализът на логиката на работа с тези „хешове“ показа, че те съдържат скрипт, кодираният с функцията base64 и стартиран след декодиране. Скриптът намира в системата SSH и GPG ключове, както и някои типове файлове от домашната директория и удостоверителни данни за проекти PyCharm, след което ги изпраща на външен сървър, разположен в облачната инфраструктура на DigitalOcean.

Източник: opennet.ru