שתי ספריות זדוניות זוהו בספריית חבילות PyPI Python

בספריית חבילות Python PyPI (אינדקס חבילות Python) גילה חבילות זדוניות"python3-dateutil"ו"מדוזה", שהועלו על ידי מחבר אחד olgired2017 והתחפשו לחבילות פופולריות"dateutil"ו"מדוזה" (מובחן על ידי השימוש בסמל "I" (i) במקום "l" (L) בשם). לאחר התקנת החבילות שצוינו, מפתחות הצפנה ונתוני משתמש חסויים שנמצאו במערכת נשלחו לשרת של התוקף. החבילות הבעייתיות הוסרו כעת מספריית PyPI.

הקוד הזדוני עצמו היה קיים בחבילת "jeIlyfish", וחבילת "python3-dateutil" השתמשה בו כתלות.
השמות נבחרו על סמך משתמשים לא קשובים שעשו שגיאות הקלדה בעת חיפוש (טעות הקלדה). החבילה הזדונית "jeIlyfish" הורדה לפני כשנה, ב-11 בדצמבר 2018, ולא זוהתה. החבילה "python3-dateutil" הועלתה ב-29 בנובמבר 2019 ומספר ימים לאחר מכן עוררה חשד בקרב אחד המפתחים. מידע על מספר ההתקנות של חבילות זדוניות אינו מסופק.

חבילת המדוזה כללה קוד שהוריד רשימה של "hashes" ממאגר חיצוני מבוסס GitLab. ניתוח ההיגיון לעבודה עם ה"hash" הללו הראה שהם מכילים סקריפט מקודד באמצעות פונקציית base64 ומופעל לאחר פענוח. הסקריפט מצא מפתחות SSH ו-GPG במערכת, כמו גם סוגים מסוימים של קבצים מהספרייה הביתית ואישורים עבור פרויקטים של PyCharm, ולאחר מכן שלח אותם לשרת חיצוני הפועל על תשתית הענן DigitalOcean.

מקור: OpenNet.ru