U katalogu Python paketa PyPI (Python Package Index) zlonamjerni paketi "» i «" koji je prenio jedan autor olgired2017 i skrivali su se pod popularnim paketima "» i «" (razlikuje se upotrebom simbola „I“ (i) umjesto „l“ (L) u nazivu). Nakon instalacije navedenih paketa, na server napadača bili su poslani pronađeni u sustavu ključevi za šifriranje i povjerljivi podaci korisnika. Trenutno su problematični paketi već uklonjeni iz kataloga PyPI.
Izravno zlonamjerni kod bio je prisutan u paketu "jeIlyfish", dok je paket "python3-dateutil" koristio taj kod kao ovisnost.
Nazivi su odabrani s obzirom na nepažljive korisnike koji pravite pogrešne otkucaje prilikom pretraživanja (). Zlonamjerni paket "jeIlyfish" prenesen je prije otprilike godine — 11. prosinca 2018. godine i ostao neprimijećen. Paket "python3-dateutil" prenesen je 29. studenog 2019. godine i nekoliko dana kasnije izazvao je sumnju jednog od programera. Informacije o broju instalacija zlonamjernih paketa nisu navedene.
Paket jellyfish uključivao je kod koji preuzima popis "hashova" iz vanjskog repozitorija na bazi GitLab. Analiza logike rada s tim "hashovima" pokazala je da sadrže skript kodiran pomoću base64 funkcije, koji se izvršava nakon dekodiranja. Skript je pronalazio ključeve SSH i GPG u sustavu, kao i određene vrste datoteka iz home direktorija i vjerodajnice za PyCharm projekte, a zatim ih slao na vanjski server pokrenut u oblačnoj infrastrukturi DigitalOcean.
Izvor: opennet.ru
