Opnieuw zijn er in de Python Package Index (PyPI), de officiële locatie voor Python-software, verschillende kwaadaardige packages ontdekt en vervolgens verwijderd. Python is een populaire programmeertaal en PyPI bevat allerlei software die door de Python-gemeenschap is ontwikkeld.

Vorig jaar vond het Computer Security Incident Response Team van de Slowaakse overheid (SK-CSIRT) allerlei kwaadaardige packages die aan PyPI waren toegevoegd. Nu blijkt dat aanvallers dat opnieuw hebben gedaan, zo ontdekte een onderzoeker genaamd Bertus. De aanvallers creëerden kwaadaardige packages met een naam die op bestaande packages leken. Deze packages werden vervolgens aan PyPI toegevoegd.

Als gebruikers bij het installeren van een package een typefout maakten, installeerden ze de kwaadaardige package. De packages deden verschillende zaken. Sommigen injecteerden code in het bestand .bashrc anderen stuurden een ping terug naar de server en één opende een reverse shell. Ook was er een package die probeerde om bitcoinadressen in het clipboard aan te passen. Als een slachtoffer een bitcointransactie zou willen uitvoeren zou op deze manier het geld naar de verkeerde bitcoinwallet worden overgemaakt.

De eerste 11 kwaadaardige packages werden begin oktober ontdekt en verwijderd. De twaalfde kwaadaardige package, die bitcoinadressen in het clipboard aanpaste, werd al sinds december 2017 via PyPI aangeboden en op 22 oktober verwijderd.