Une version compromise de LiteLLM 1.107.0 sur PyPI installe un voleur d'identifiants et une porte dérobée d'exécution de code à distance. Les sept wheels de la version, couvrant Linux, macOS et Windows, installent trois fichiers dans site-packages. Deux d'entre eux s'exécutent chaque fois qu'un processus Python démarre sur l'hôte, même un processus qui n'importe jamais litellm. La source GitHub en amont ne contient pas ces fichiers, et PyPI a depuis retiré la version. Les versions 1.106.2, 1.107.0rc1 et 1.107.0rc2 sont saines, de même que les paquets associés litellm-proxy-extras==0.4.110 et litellm-enterprise==0.1.78.
Le voleur, cook.py, collecte les clés SSH, les identifiants cloud, les secrets CI/CD, les jetons d'outils d'IA, les mots de passe de navigateur et les clés des fournisseurs de LLM stockées dans la base de données du proxy LiteLLM. Il chiffre les données et les envoie à www.litellm[.]dev. Un second fichier, sitecustomize.py, lance un démon en arrière-plan qui s'exécute toutes les heures. Le démon lit une adresse de serveur dans un fichier GitHub, relance le voleur, puis télécharge et exécute du code depuis ce serveur.
L'implant a été introduit par une seule ligne ajoutée à la configuration de build de la distribution source 1.107.0. Cette ligne copie un dossier caché dans la wheel, et ce dossier est absent de la distribution source. La version ne correspond pas non plus à son tag, v1.107.0, et aucune exécution publique de GitHub Actions ne l'a construite ou publiée. Safe Dep estime, avec une confiance modérée à élevée, que le pipeline de publication privé de Berri AI a construit les wheels à partir d'une source modifiée par l'attaquant. Seuls les journaux du pipeline de l'entreprise peuvent confirmer comment la compromission s'est produite.
Source: Hacker News · Résumé par HeadlinesBriefing