I kataloget for Python-pakker PyPI (Python Package Index) ondsindede pakker "" og "", som blev uploadet af en forfatter ved navn olgired2017 og maskeede sig som populære pakker "" og "" (adskiller sig ved at bruge symbolet "I" (i) i stedet for "l" (L) i navnet). Efter installation af de nævnte pakker blev de krypteringsnøgler og brugerdata, der blev fundet i systemet, sendt til serveren hos gerningsmanden. De problematiske pakker er nu allerede fjernet fra kataloget PyPI.
Den ondsindede kode var til stede i pakken "jeIlyfish", mens pakken "python3-dateutil" brugte den som afhængighed.
Navnene blev valgt med henblik på ujordede brugere, der laver tastefejl under søgning (). Den ondsindede pakke "jeIlyfish" blev uploadet for omkring et år siden – den 11. december 2018 og forblev uopdaget. Pakken "python3-dateutil" blev uploadet den 29. november 2019 og forårsagede i de following dage mistanke hos en af udviklerne. Der gives ingen oplysninger om antallet af installationer af de ondsindede pakker.
Pakken jellyfish inkluderede kode, der indlæser listen over "hashes" fra et eksternt repository bygget på GitLab. Analyse af logikken bag arbejdet med disse "hashes" viste, at de indeholder et script, der er kodet ved hjælp af base64-funktion og køres efter dekodning. Scriptet fandt i systemet SSH- og GPG-nøgler samt nogle filtyper fra hjemmebiblioteket og legitimation til projekter i PyCharm, og sendte derefter dem til en ekstern server, der kørte i DigitalOcean's cloud-infrastruktur.
Kilde: opennet.ru
