No diretório de pacotes Python PyPI (Python Package Index) pacotes maliciosos “” e “”, que foram carregados por um autor chamado olgired2017 e se disfarçavam como pacotes populares “” e “” (distinguindo-se pelo uso do símbolo “I” (i) em vez de “l” (L) no nome). Após a instalação dos pacotes mencionados no servidor, chaves de criptografia e dados confidenciais do usuário eram enviados para o invasor. Atualmente, os pacotes problemáticos já foram removidos do diretório PyPI.
O código malicioso estava presente no pacote “jeIlyfish”, enquanto o pacote “python3-dateutil” usava-o como dependência.
Os nomes foram escolhidos visando usuários desatentos, que cometem erros de digitação ao fazer buscas (). O pacote malicioso “jeIlyfish” foi carregado há cerca de um ano — em 11 de dezembro de 2018 e permaneceu despercebido. O pacote “python3-dateutil” foi carregado em 29 de novembro de 2019 e, alguns dias depois, gerou suspeitas em um dos desenvolvedores. Não há informações sobre o número de instalações dos pacotes maliciosos.
O pacote jellyfish incluía um código que carregava uma lista de “hashes” de um repositório externo baseado no GitLab. A análise da lógica de funcionamento desses “hashes” mostrou que eles continham um script codificado usando a função base64 e executado após a decodificação. O script encontrava na máquina chaves SSH e GPG, bem como alguns tipos de arquivos do diretório pessoal e credenciais para projetos PyCharm, enviando-os para um servidor externo hospedado na infraestrutura em nuvem DigitalOcean.
Fonte: opennet.ru
