Rilis LiteLLM 1.107.0 yang disusupi di PyPI memasang pencuri kredensial dan backdoor eksekusi kode jarak jauh. Ketujuh wheel untuk rilis ini, yang mencakup Linux, macOS, dan Windows, memasang tiga berkas ke dalam site-packages. Dua di antaranya berjalan setiap kali proses Python apa pun dimulai di host, termasuk proses yang tidak pernah mengimpor litellm. Sumber GitHub upstream tidak memuat berkas-berkas ini, dan PyPI kemudian telah menghapus rilis tersebut. Versi 1.106.2, 1.107.0rc1, dan 1.107.0rc2 dinyatakan bersih, begitu pula paket pendamping litellm-proxy-extras==0.4.110 dan litellm-enterprise==0.1.78.
Pencuri, cook.py, mengumpulkan kunci SSH, kredensial cloud, rahasia CI/CD, token alat AI, kata sandi peramban, dan kunci penyedia LLM yang disimpan dalam basis data proxy LiteLLM. Data dienkripsi lalu dikirim ke www.litellm[.]dev. Berkas kedua, sitecustomize.py, memulai daemon latar belakang yang berjalan setiap jam. Daemon ini membaca alamat server dari berkas di GitHub, menjalankan ulang pencuri, lalu mengunduh dan mengeksekusi kode dari server tersebut.
Implan ini masuk melalui satu baris yang ditambahkan ke konfigurasi build distribusi sumber 1.107.0. Baris tersebut menyalin folder tersembunyi ke dalam wheel, sementara folder itu tidak ada di distribusi sumber. Rilis ini juga tidak sesuai dengan tag-nya, v1.107.0, dan tidak ada eksekusi GitHub Actions publik yang membangun atau menerbitkannya. Safe Dep menilai dengan tingkat keyakinan sedang hingga tinggi bahwa pipeline rilis privat Berri AI membangun wheel dari sumber yang telah dimodifikasi penyerang. Hanya log pipeline perusahaan yang dapat memastikan bagaimana kompromi itu terjadi.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing