V adresári Python Package Index (PyPI) s balíkmi Pythonu škodlivé balíky ""A"„, ktoré nahral jeden autor olgired2017 a boli maskované ako populárne balíčky“"A"(rozlišuje sa použitím znaku „I“ (i) namiesto znaku „l“ (L) v názve). Po nainštalovaní vyššie uvedených balíkov boli na server útočníka odoslané šifrovacie kľúče a dôverné používateľské údaje nájdené v systéme. Problematické balíky boli teraz odstránené z adresára PyPI.
Samotný škodlivý kód sa nachádzal v balíku „jeIlyfish“ a balík „python3-dateutil“ ho používal ako závislosť.
Názvy boli vybrané s očakávaním, že nepozorní používatelia by mohli pri vyhľadávaní urobiť preklepy (). Škodlivý balík „jeIlyfish“ bol nahraný približne pred rokom, 11. decembra 2018, a zostal nezistený. Balík „python3-dateutil“ bol nahraný 29. novembra 2019 a o niekoľko dní neskôr vzbudil podozrenie jedného z vývojárov. Nie sú k dispozícii žiadne informácie o počte inštalácií škodlivých balíkov.
Balík medúzy obsahoval kód, ktorý stiahol zoznam „hashov“ z externého repozitára založeného na GitLabe. Analýza logiky za týmito „hashmi“ odhalila, že obsahovali skript kódovaný v base64, ktorý sa spustil po dekódovaní. Skript načítal kľúče SSH a GPG zo systému, ako aj určité typy súborov z domovského adresára a prihlasovacie údaje pre projekty PyCharm a potom ich odoslal na externý server bežiaci na cloudovej infraštruktúre DigitalOcean.
Zdroj: opennet.ru
