Nel catalogo dei pacchetti Python PyPI (Python Package Index) pacchetti dannosi «" e "«, che sono stati caricati da un unico autore olgired2017 e si mascheravano da pacchetti popolari «" e "» (differente per l'uso del simbolo «I» (i) al posto dl «l» (L) nel nome). Dopo aver installato questi pacchetti, sul server dell'attaccante venivano inviati le chiavi di crittografia e i dati riservati dell'utente trovati nel sistema. Attualmente, i pacchetti problematici sono già stati rimossi dal catalogo PyPI.
Il codice dannoso era presente nel pacchetto «jeIlyfish», mentre il pacchetto «python3-dateutil» lo utilizzava come dipendenza.
I nomi sono stati scelti pensando a utenti distratti, che commettono errori di battitura durante la ricerca (). Il pacchetto dannoso «jeIlyfish» è stato caricato circa un anno fa, l'11 dicembre 2018, e è rimasto inosservato. Il pacchetto «python3-dateutil» è stato caricato il 29 novembre 2019 ed ha suscitato sospetti dopo pochi giorni da uno degli sviluppatori. Non sono forniti dati sul numero di installazioni dei pacchetti dannosi.
Il pacchetto jellyfish conteneva un codice che scaricava un elenco di «hash» da un repository esterno basato su GitLab. L'analisi della logica di lavoro con questi «hash» ha mostrato che contenevano uno script codificato utilizzando la funzione base64 e che veniva eseguito dopo la decodifica. Lo script cercava nel sistema chiavi SSH e GPG, così come alcuni tipi di file dalla home directory e le credenziali per i progetti PyCharm, per poi inviarli a un server esterno, attivato nell'infrastruttura cloud di DigitalOcean.
Fonte: opennet.ru
