Nel catalogo dei pacchetti Python PyPI (Python Package Index) pacchetti dannosi «» e ««, caricati da un autore olgired2017 e mascherati da pacchetti popolari «» e «» (differiscono per l'uso del simbolo «I» (i) invece di «l» (L) nel nome). Dopo l'installazione dei pacchetti indicati, le chiavi di crittografia trovate nel sistema e i dati sensibili dell'utente venivano inviati al server dell'attaccante. Attualmente, i pacchetti problematici sono già stati rimossi dal catalogo PyPI.
Il codice dannoso era presente nel pacchetto «jeIlyfish», mentre il pacchetto «python3-dateutil» lo utilizzava come dipendenza.
I nomi sono stati scelti per ingannare gli utenti distratti, che commettono errori di battitura durante la ricerca (). Il pacchetto dannoso «jeIlyfish» è stato caricato circa un anno fa — l'11 dicembre 2018 e è rimasto inosservato. Il pacchetto «python3-dateutil» è stato caricato il 29 novembre 2019 e dopo pochi giorni ha suscitato sospetti in uno degli sviluppatori. Non vengono forniti dettagli sul numero di installazioni dei pacchetti dannosi.
Il pacchetto jellyfish includeva un codice che carica un elenco di "hash" da un repository esterno basato su GitLab. L'analisi della logica di funzionamento di questi "hash" ha rivelato che contenevano uno script codificato utilizzando la funzione base64, che veniva eseguito dopo la decodifica. Lo script localizzava nella macchina chiavi SSH e GPG, oltre a determinati tipi di file nella home directory e le credenziali per i progetti PyCharm, per poi inviarli a un server esterno situato nell'infrastruttura cloud di DigitalOcean.
Fonte: opennet.ru
