Более 170 000 пользователей пострадали от атаки с использованием поддельной инфраструктуры Python. 

Мишенью атаки стали члены организации Top.gg GitHub — ведущего ресурса для разработчиков ботов Discord — а также другие разработчики. Целью распространения вредоносного ПО была кража конфиденциальных данных и их монетизация.

У атаки было несколько направлений: клоны популярных пакетов Python, таких как Colorama, двойник или опечатанный домен для пакетов Python, а также обфускация кода.

Вредоносные пакеты были загружены в Python Package Index (PyPI) в ноябре 2022 года, но атака началась только в феврале прошлого года, когда был зарегистрирован домен-двойник.

Через свою учетную запись на GitHub злоумышленник сделал коммит на Top.gg, который якобы изменил одну вещь, но при этом вставил поддельный пакет Colorama между несколькими настоящими URL, что сделало его менее заметным. В репозиториях, поддерживаемых другими взломанными учетными записями, злоумышленник сделал коммиты, в которых несколько пакетов, размещенных на настоящем сайте, были добавлены вместе с поддельным пакетом Colorama. Это помогло скрыть существование URL-адреса-двойника, поскольку среди нескольких строк измененного кода трудно заметить одно изменение доменного имени.

Число пользователей, пострадавших в результате действий злоумышленников точно неизвестно. Однако тот факт, что вредоносное ПО проникло в репозиторий GitHub на сервере Discord с 170 000 пользователей, предполагает, что их могло быть как минимум тысячи или даже десятки тысяч.