Im Katalog der Python-Pakete PyPI (Python Package Index) schädliche Pakete „» und «“, die von einem Autor namens olgired2017 hochgeladen wurden und sich als beliebte Pakete „» und «“ tarnen (unter Verwendung des Zeichens „I“ (i) anstelle des „l“ (L) im Namen). Nach der Installation dieser Pakete wurden auf dem Server des Angreifers die in der System verschlüsselten Schlüssel und vertraulichen Benutzerdaten übertragen. Diese problematischen Pakete wurden inzwischen aus dem Katalog PyPI entfernt.
Der schädliche Code war im Paket „jeIlyfish“ vorhanden, während das Paket „python3-dateutil“ es als Abhängigkeit verwendete.
Die Namen wurden gewählt, um unaufmerksame Benutzer anzusprechen, die beim Suchen Tippfehler machen (). Das schädliche Paket „jeIlyfish“ wurde vor etwa einem Jahr – am 11. Dezember 2018 – hochgeladen und blieb unbemerkt. Das Paket „python3-dateutil“ wurde am 29. November 2019 hochgeladen und wurde wenige Tage später von einem Entwickler verdächtigt. Informationen zur Anzahl der Installationen der schädlichen Pakete liegen nicht vor.
Das Jellyfish-Paket beinhaltete einen Code, der eine Liste von "Hashes" aus einem externen GitLab-Repository lädt. Die Analyse der Logik im Umgang mit diesen "Hashes" ergab, dass sie ein Skript enthielten, das mittels der Funktion base64 codiert war und nach der Dekodierung ausgeführt wurde. Das Skript suchte im System nach SSH- und GPG-Schlüsseln sowie bestimmten Dateitypen im Home-Verzeichnis und den Anmeldedaten für PyCharm-Projekte, bevor es diese an einen externen Server in der Cloud-Infrastruktur von DigitalOcean sendete.
Quelle: opennet.ru
