Eine kompromittierte Version LiteLLM 1.107.0 auf PyPI installiert einen Zugangsdaten-Stealer und eine Hintertür für Remote-Codeausführung. Alle sieben Wheels dieser Version, die Linux, macOS und Windows abdecken, installieren drei Dateien in site-packages. Zwei davon laufen immer dann, wenn auf dem Host ein Python-Prozess startet, auch wenn dieser litellm nie importiert. Der vorgelagerte GitHub-Quellcode enthält diese Dateien nicht, und PyPI hat die Version inzwischen entfernt. Die Versionen 1.106.2, 1.107.0rc1 und 1.107.0rc2 sind unauffällig, ebenso die Begleitpakete litellm-proxy-extras==0.4.110 und litellm-enterprise==0.1.78.
Der Stealer cook.py sammelt SSH-Schlüssel, Cloud-Zugangsdaten, CI/CD-Geheimnisse, Tokens von KI-Werkzeugen, Browserpasswörter und LLM-Anbieterschlüssel, die in der Datenbank des LiteLLM-Proxys gespeichert sind. Er verschlüsselt die Daten und sendet sie an www.litellm[.]dev. Eine zweite Datei, sitecustomize.py, startet einen Hintergrunddienst, der jede Stunde läuft. Dieser liest eine Serveradresse aus einer Datei auf GitHub, führt den Stealer erneut aus und lädt Code von diesem Server herunter und führt ihn aus.
Das Implantat gelangte über eine einzige hinzugefügte Zeile in der Build-Konfiguration des 1.107.0-Quelldistributionspakets ins System. Diese Zeile kopiert einen versteckten Ordner in das Wheel, der Ordner fehlt jedoch im Quelldistributionspaket. Die Version stimmt außerdem nicht mit ihrem Tag v1.107.0 überein, und kein öffentlicher GitHub-Actions-Lauf hat sie gebaut oder veröffentlicht. Safe Dep schätzt mit mittlerer bis hoher Sicherheit ein, dass die private Release-Pipeline von Berri AI die Wheels aus einem vom Angreifer veränderten Quellcode gebaut hat. Nur die Pipeline-Protokolle des Unternehmens können bestätigen, wie es zu der Kompromittierung kam.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing