Im Verzeichnis der Python-Pakete PyPI (Python Package Index) schadhafte Pakete „» und „“, die von einem Autor olgired2017 hochgeladen wurden und sich als beliebte Pakete „» und „“ tarnen (unterscheidet sich durch die Verwendung des Zeichens „I“ (i) anstelle von „l“ (L) im Namen). Nach der Installation der genannten Pakete wurden gefundene Systemverschlüsselungsschlüssel und Benutzerdaten an den Server des Angreifers gesendet. Die problematischen Pakete wurden mittlerweile aus dem PyPI-Verzeichnis entfernt.
Der schadhafte Code war im Paket „jeIlyfish“ enthalten, während das Paket „python3-dateutil“ es als Abhängigkeit verwendete.
Die Namen wurden gewählt, um unaufmerksame Benutzer anzusprechen, die Tippfehler bei der Suche zulassen (). Das schadhafte Paket „jeIlyfish“ wurde vor etwa einem Jahr – am 11. Dezember 2018 – hochgeladen und blieb unbemerkt. Das Paket „python3-dateutil“ wurde am 29. November 2019 hochgeladen und weckte nach ein paar Tagen das Misstrauen eines der Entwickler. Informationen über die Anzahl der Installationen der schadhaften Pakete werden nicht bereitgestellt.
Das Paket jellyfish enthielt Code, der eine Liste von „Hashes“ aus einem externen GitLab-Repository herunterlud. Die Analyse der Logik um den Umgang mit diesen „Hashes“ zeigte, dass sie ein Skript enthalten, das mittels der base64-Funktion codiert war und nach der Dekodierung ausgeführt wurde. Das Skript fand im System die SSH- und GPG-Schlüssel sowie bestimmte Dateitypen im Home-Verzeichnis und Projektanmeldeinformationen für PyCharm und sendete sie anschließend an einen externen Server, der auf der Cloud-Infrastruktur von DigitalOcean betrieben wurde.
Quelle: opennet.ru
