Në katalogun e pakove Python PyPI (Python Package Index) paketat me ndotje "» dhe "" që ishin ngarkuar nga një autor olgired2017 dhe ishin maskuar si paketa populare "» dhe "" (dallon për përdorimin e simbolit «I» (i) në vend të «l» (L) në emër). Pas instalimit të këtyre pakove, çelësat e enkriptimit dhe të dhënat private të përdoruesit dërgoheshin në serverin e sulmuesit. Aktualisht, pakot problematike janë hequr nga katalogu PyPI.
Kodi me ndotje ishte i pranishëm në pakon «jeIlyfish», ndërsa pakon «python3-dateutil» e përdori atë si varësi.
Emrat u zgjodhën duke llogaritur përdoruesit e pakujdesshëm, të cilët gabojnë gjatë kërkimit (). Paketa me ndotje «jeIlyfish» u ngarkua rreth një vit më parë - më 11 dhjetor 2018 dhe mbeti e pa vënë re. Paketa «python3-dateutil» u ngarkua më 29 nëntor 2019 dhe disa ditë më vonë ngjalli dyshime te një nga zhvilluesit. Informacioni mbi numrin e instalimeve të pakove me ndotje nuk jepet.
Paketa jellyfish përfshinte kodin që ngarkonte një listë «hashesh» nga një depo e jashtme e bazuar në GitLab. Analiza e logjikës së punës me këto «hash-e» tregoi se ato përmbanin një skript të koduar me funksionin base64 dhe që ekzekutohej pas dekodimit. Skripti gjente në sistem çelësat SSH dhe GPG, si dhe disa lloje skedarësh nga katalogu i shtëpisë dhe kredencialet për projektet PyCharm, pas së cilës i dërgonte ato në një server të jashtëm, të nisur në infrastrukturën e mbështetur nga DigitalOcean.
Burimi: opennet.ru
