Откриени две малициозни библиотеки во директориумот со пакети PyPI Python

Во директориумот на пакети Python PyPI (Индекс на пакети на Python) откриен злонамерни пакети“python3-dateutil"И"медуза", кои беа поставени од еден автор olgired2017 и маскирани како популарни пакети"датумутил"И"медуза" (се разликува со употребата на симболот "I" (i) наместо "l" (L) во името). По инсталирањето на наведените пакети, клучевите за шифрирање и доверливите кориснички податоци пронајдени во системот беа испратени до серверот на напаѓачот. Проблематичните пакети сега се отстранети од директориумот PyPI.

Самиот злонамерен код беше присутен во пакетот „jeIlyfish“, а пакетот „python3-dateutil“ го користеше како зависност.
Имињата беа избрани врз основа на невнимателни корисници кои правеа грешки при пребарувањето (печатење). Злонамерниот пакет „jeIlyfish“ беше преземен пред околу една година, на 11 декември 2018 година и остана неоткриен. Пакетот „python3-dateutil“ беше поставен на 29 ноември 2019 година и неколку дена подоцна предизвика сомнеж кај еден од програмерите. Не се дадени информации за бројот на инсталации на малициозни пакети.

Пакетот со медуза вклучуваше код што преземаше листа на „хашови“ од надворешно складиште базирано на GitLab. Анализата на логиката за работа со овие „хашови“ покажа дека тие содржат скрипта кодирана со помош на функцијата base64 и стартувана по декодирањето. Скриптата ги пронајде клучевите SSH и GPG во системот, како и некои типови датотеки од домашниот директориум и ингеренциите за проектите на PyCharm, а потоа ги испрати на надворешен сервер што работи на инфраструктурата на облакот DigitalOcean.

Извор: opennet.ru