La cadena de publicación de LiteLLM fue pirateada para distribuir malware que roba información

Los atacantes comprometieron la cadena de publicación de LiteLLM y publicaron una versión maliciosa del paquete de Python, además de imágenes maliciosas de Docker. La carga roba credenciales, secretos y variables de entorno.

El ataque afectó a todos los paquetes wheel de LiteLLM 1.107.0 en PyPI y podía afectar a sistemas Windows, Linux y macOS. LiteLLM es un SDK de Python de código abierto y una pasarela de IA que ofrece a las aplicaciones una API común para acceder a modelos de distintos proveedores.

El proyecto indicó que la cadena de publicación fue comprometida el 21 de octubre y que un atacante publicó la versión 1.107.0 en PyPI y en el registro de Docker. Un responsable de mantenimiento dijo que la versión contenía malware compilado que roba credenciales y carga herramientas de ejecución remota de código. Según el responsable, los clientes de la oferta empresarial privada no resultaron afectados.

Los investigadores afirmaron que el atacante modificó archivos de instalación, no el código de la aplicación LiteLLM. Se colocaron tres archivos maliciosos—cook.pth, cook.py y sitecustomize.py—en el directorio de bibliotecas de Python. La carga se ejecutaba al iniciar Python, y ejecutar Python o pip para investigar una instalación afectada también podía activarla. Uno de los archivos iniciaba además un cargador independiente que comprobaba cada hora un puntero alojado en GitHub.

Los paquetes maliciosos ya se han retirado. La versión de recuperación recomendada por el proyecto es LiteLLM 1.106.2, descrita como la última versión limpia anterior al ataque. El responsable de mantenimiento también informó de una brecha distinta en marzo, cuando el grupo TeamPCP publicó versiones maliciosas de LiteLLM en PyPI tras comprometer el escáner Trivy de Aqua Security, usado en la cadena CI/CD de LiteLLM.