V adresári balíkov Python PyPI (Python Package Index) škodlivé balíčky ""A"", ktoré boli nahrané jedným autorom olgired2017 a maskované ako obľúbené balíčky ""A"“ (odlišuje sa použitím symbolu „I“ (i) namiesto „l“ (L) v názve). Po nainštalovaní špecifikovaných balíkov boli na server útočníka odoslané šifrovacie kľúče a dôverné používateľské údaje nájdené v systéme. Problémové balíčky boli teraz odstránené z adresára PyPI.
Samotný škodlivý kód bol prítomný v balíku „jeIlyfish“ a balík „python3-dateutil“ ho používal ako závislosť.
Názvy boli vybrané na základe nepozorných používateľov, ktorí pri vyhľadávaní urobili preklepy (). Škodlivý balík „jeIlyfish“ bol stiahnutý približne pred rokom, 11. decembra 2018, a zostal nezistený. Balík „python3-dateutil“ bol nahraný 29. novembra 2019 a o pár dní neskôr vzbudil u jedného z vývojárov podozrenie. Informácie o počte inštalácií škodlivých balíkov nie sú uvedené.
Balíček medúzy obsahoval kód, ktorý stiahol zoznam „hashov“ z externého úložiska GitLab. Analýza logiky práce s týmito „hashmi“ ukázala, že obsahujú skript zakódovaný pomocou funkcie base64 a spustený po dekódovaní. Skript našiel v systéme kľúče SSH a GPG, ako aj niektoré typy súborov z domovského adresára a poverenia pre projekty PyCharm a následne ich odoslal na externý server bežiaci na cloudovej infraštruktúre DigitalOcean.
Zdroj: opennet.ru