I katalogen av Python-paket PyPI (Python Package Index) skadliga paket "" och "" som laddades upp av en författare olgired2017 och maskerade sig som populÀra paket "" och "" (skiljer sig genom att anvÀnda tecknet "I" (i) istÀllet för "l" (L) i namnet). Efter installation av nÀmnda paket skickades nycklar och konfidentiell anvÀndardata som hittades i systemet till angriparens server. För nÀrvarande har de problematiska paketen tagits bort frÄn katalogen PyPI.
Den skadliga koden fanns i paketet "jeIlyfish", medan paketet "python3-dateutil" anvÀnde det som ett beroende.
Namnen valdes med tanke pĂ„ ouppmĂ€rksamma anvĂ€ndare som gör stavfel vid sökning (). Det skadliga paketet "jeIlyfish" laddades upp för ungefĂ€r ett Ă„r sedan â 11 december 2018 och förblev osynligt. Paketet "python3-dateutil" laddades upp den 29 november 2019 och efter nĂ„gra dagar vĂ€ckte misstankar hos en av utvecklarna. Informationen om antalet installationer av de skadliga paketen tillhandahĂ„lls inte.
Paketet jellyfish innehöll kod som laddade en lista med "hashar" frÄn ett externt GitLab-repositorium. En analys av logiken bakom dessa "hashar" visade att de innehöll ett skript som kodas med funktionen base64 och kördes efter avkodning. Skriptet identifierade SSH- och GPG-nycklar i systemet, samt vissa typer av filer frÄn hemmakatalogen och inloggningsuppgifter för PyCharm-projekt, som sedan skickades till en extern server som kördes i molninfrastrukturen DigitalOcean.
KĂ€lla: opennet.ru
