LiteLLM:s utgivningskedja hackades för att sprida informationsstjälande skadlig kod

Angripare tog sig in i LiteLLM:s utgivningskedja och publicerade en skadlig version av Python-paketet samt skadliga Docker-avbildningar. Den skadliga koden stjäl inloggningsuppgifter, hemligheter och miljövariabler.

Angreppet berörde alla PyPI-hjul för LiteLLM 1.107.0 och kan påverka system med Windows, Linux och macOS. LiteLLM är ett SDK för Python med öppen källkod och en AI-gateway som ger appar ett gemensamt API för åtkomst till modeller från olika leverantörer.

Projektet uppgav att utgivningskedjan komprometterades den 21 oktober och att en angripare publicerade version 1.107.0 på PyPI och i Docker-registret. En underhållsansvarig sade att versionen innehöll kompilerad skadlig kod som stjäl inloggningsuppgifter och laddar verktyg för fjärrkörning av kod. Enligt den underhållsansvariga påverkades inte kunder som använder det privata företagserbjudandet.

Forskarna sade att angriparen ändrade installationsfilerna, inte LiteLLM:s programkod. Tre skadliga filer—cook.pth, cook.py och sitecustomize.py—placerades i Pythons bibliotekskatalog. Koden kördes när Python startade, och även körning av Python eller pip för att undersöka en drabbad installation kunde utlösa den. En av filerna startade också en fristående laddare som kontrollerade en GitHub-värdad pekare varje timme.

De skadliga paketen har tagits bort. Projektets rekommenderade återställningsversion är LiteLLM 1.106.2, som beskrivs som den senaste rena versionen före angreppet. Den underhållsansvariga rapporterade också ett separat intrång i mars, då hackergruppen TeamPCP publicerade skadliga LiteLLM-versioner på PyPI efter att ha brutit sig in i Aqua Securitys Trivy-skanner, som används i LiteLLM:s CI/CD-kedja.