In de katalogus van Python-pakketten PyPI (Python Package Index) malwarepakketten "» en «" die zijn geüpload door één auteur olgired2017 en doen zich voor als populaire pakketten "» en «" (verschilt door het gebruik van het symbool «I» (i) in plaats van «l» (L) in de naam). Na de installatie van de genoemde pakketten werden de gevonden encryptiesleutels en vertrouwelijke gebruikersgegevens naar de server van de aanvaller gestuurd. Op dit moment zijn de problematische pakketten al uit de catalogus PyPI verwijderd.
Directe malwarecode was aanwezig in het pakket "jeIlyfish", terwijl het pakket "python3-dateutil" dit als afhankelijkheid gebruikte.
De namen zijn gekozen met het oog op onoplettende gebruikers die typefouten maken bij het zoeken (). Het malwarepakket "jeIlyfish" werd ongeveer een jaar geleden geüpload — op 11 december 2018 en bleef onopgemerkt. Het pakket "python3-dateutil" werd op 29 november 2019 geüpload en na enkele dagen kreeg het argwaan bij een van de ontwikkelaars. Informatie over het aantal installaties van de malwarepakketten wordt niet verstrekt.
Het jellyfish-pakket bevatte code die een lijst met "hashes" uit een externe repository op basis van GitLab laadde. Een analyse van de logica van de werking met deze "hashes" toonde aan dat ze een script bevatten dat gecodeerd was met behulp van de base64-functie en dat werd uitgevoerd na decodering. Het script zocht in het systeem naar SSH- en GPG-sleutels, evenals sommige typen bestanden uit de thuismap en inloggegevens voor PyCharm-projecten, waarna ze naar een externe server werden gestuurd die draaide in de cloudinfrastructuur van DigitalOcean.
Bron: opennet.ru
