V katalogu Python balíčků PyPI (Python Package Index) škodlivé balíčky „“ a „«, které byly nahrány jedním autorem olgired2017 a maskovaly se pod populárními balíčky „“ a „“ (liší se použitím znaku „I“ (i) místo „l“ (L) v názvu). Po instalaci uvedených balíčků byly na server útočníka odeslány nalezené klíče šifrování a důvěrné údaje uživatele. V současnosti byly problematické balíčky již odstraněny z katalogu PyPI.
Přímo škodlivý kód byl přítomen v balíčku „jeIlyfish“, zatímco balíček „python3-dateutil“ jej využíval jako závislost.
Názvy byly vybrány s ohledem na nepozorné uživatele, kteří dělají překlepy při vyhledávání (). Škodlivý balíček „jeIlyfish“ byl nahrán přibližně před rokem — 11. prosince 2018 a zůstal bez povšimnutí. Balíček „python3-dateutil“ byl nahrán 29. listopadu 2019 a po několika dnech vzbudil podezření u jednoho z vývojářů. Informace o počtu instalací škodlivých balíčků nejsou uvedeny.
Balíček jellyfish obsahoval kód, který stahuje seznam „hashů“ z externího repozitáře na základě GitLab. Analýza logiky práce s těmito „haši“ ukázala, že obsahují skript, který je zakódovaný pomocí funkce base64 a spouští se po dekódování. Skript hledal v systému klíče SSH a GPG, jakož i některé typy souborů z domovského adresáře a přihlašovací údaje pro projekty PyCharm, poté je odesílal na externí server běžící v cloudové infrastruktuře DigitalOcean.
Zdroj: opennet.ru
