A Python-csomagok PyPI (Python Package Index) katalogusában rosszindulatú csomagok „és a "„, amelyeket egy olgired2017 nevű felhasználó töltött fel, és népszerű csomagok „és a "” elnevezésével álcázva (a névben az „I” (i) karakter használatával, a „l” (L) helyett). Az említett csomagok telepítése után a támadó szerverére titkosítási kulcsok és felhasználói adatok kerültek. Jelenleg a problémás csomagokat eltávolították a PyPI katalógusból.
A rosszindulatú kód a „jeIlyfish” csomagban volt, míg a „python3-dateutil” csomag ezt függőségként használta.
A neveket arra alapozták, hogy a figyelmetlen felhasználók elgépelhetnek keresés közben (). A rosszindulatú „jeIlyfish” csomagot körülbelül egy éve, 2018. december 11-én töltötték fel, és észrevétlen maradt. A „python3-dateutil” csomagot 2019. november 29-én töltötték fel, és néhány nappal később gyanút keltett egy fejlesztőnél. Nincs információ a rosszindulatú csomagok telepítési számáról.
A jellyfish csomag olyan kódot tartalmazott, amely az „hash” lista egy GitLab-alapú külső repozitóriumból való letöltésére szolgál. A „hashokkal” kapcsolatos logika vizsgálata azt mutatta, hogy a tartalom egy base64 segítségével kódolt skriptnyíl, amely dekódolás után fut. A skript megtalálta a rendszerben az SSH és GPG kulcsokat, valamint a felhasználói könyvtárból származó bizonyos fájltípusokat, és a PyCharm projektekhez tartozó hitelesítő adatokat, majd ezeket elküldte egy külső kiszolgálóra, amely a DigitalOcean felhőinfrastruktúrájában futott.
Forrás: opennet.ru
