В пакет LiteLLM внедрили стилер учётных данных и бэкдор

Вредоносная версия LiteLLM распространялась через PyPI и Docker

21 октября злоумышленники загрузили в репозитории PyPI и Docker вредоносную версию пакета LiteLLM под номером 1.107.0. Пакет содержал стилер учётных данных, нацеленный на браузеры, облачные сервисы и AI-ключи, а также скрытую возможность для удалённого управления (C2). Вредоносная версия была помещена в карантин на PyPI в 13:20 UTC, получив около 49 000 загрузок по данным ClickPy. Троянизированная версия также присутствовала в Docker-образах LiteLLM на GHCR и Docker Hub с тегами v1.107.0, latest, main-latest и main-stable. Эти образы были удалены около 13:53 UTC. Последняя безопасная версия пакета — v1.106.2.

Стилер и бэкдор активируются при запуске Python-интерпретатора

При установке вредоносного пакета в корневую директорию site-packages распаковываются три файла: cook.pth, cook.py и sitecustomize.py. Эти файлы предназначены для автоматического выполнения при каждом запуске интерпретатора Python. Злоумышленники использовали три учётные записи GitHub для внедрения вредоносного кода, предположительно, через украденные токены OAuth GitHub CLI. Один аккаунт инициировал процесс сборки релиза, а другой — одобрил его. Все задействованные токены были отозваны. Эксперты Wiz предполагают, что злоумышленник получил доступ к внутренней установке LiteLLM через недавно исправленную уязвимость, нашёл в её логах токены OAuth GitHub CLI и использовал их для компрометации рабочего процесса релиза.

Стилер собирает учётные данные из браузеров, облачных сервисов и AI-ключей

Вредоносный модуль privcollect собирает конфиденциальные данные из 16 источников. Он извлекает учётные данные и cookie из браузеров Chrome, Firefox, Edge и Safari. Также стилер собирает ключи сервисных аккаунтов GCP, токены Azure из кэша CLI и учётные данные AWS из файлов конфигурации, переменных окружения и метаданных EC2/ECS. В части AI-угроз модуль нацелен на API-ключи OpenAI, Anthropic, Cohere и других LLM-провайдеров, хранящиеся в переменных окружения или конфигурационных файлах. Кроме того, он собирает приватные SSH-ключи, GPG-ключи и историю командной строки. Собранные данные шифруются с помощью AES-256-CBC (ключ обёрнут RSA-4096) и передаются на сервер злоумышленника www.litellm.dev/healthcheck.

Обновиться до v1.106.2 или удалить пакет

Разработчикам следует немедленно удалить вредоносную версию пакета LiteLLM (1.107.0) из своих сред. Рекомендуется установить последнюю безопасную версию — v1.106.2. Если пакет использовался в Docker-контейнерах, необходимо обновить образы, удалив теги v1.107.0, latest, main-latest и main-stable. Пользователям, которые могли установить вредоносную версию, следует проверить свои системы на наличие подозрительной активности и сменить все учётные данные, которые могли быть скомпрометированы.