PyPIの改ざんされたLiteLLM 1.107.0リリースは、認証情報窃取ツールとリモートコード実行バックドアをインストールします。Linux、macOS、Windowsに対応する7つのwheelすべてが、3つのファイルをsite-packagesにインストールします。そのうち2つは、litellmをまったくインポートしないプロセスを含め、ホスト上でいずれかのPythonプロセスが起動するたびに実行されます。上流のGitHubソースにはこれらのファイルは含まれておらず、その後PyPIはこのリリースを削除しました。バージョン1.106.2、1.107.0rc1、1.107.0rc2は問題なく、関連パッケージのlitellm-proxy-extras==0.4.110およびlitellm-enterprise==0.1.78も同様です。
窃取ツールcook.pyは、SSHキー、クラウド認証情報、CI/CDのシークレット、AIツールのトークン、ブラウザのパスワード、LiteLLMプロキシのデータベースに保存されたLLMプロバイダーのキーを収集します。データを暗号化してwww.litellm[.]devに送信します。2つ目のファイルsitecustomize.pyは、1時間ごとに実行されるバックグラウンドデーモンを起動します。このデーモンはGitHub上のファイルからサーバーアドレスを読み取り、窃取ツールを再実行し、そのサーバーからコードをダウンロードして実行します。
この実装は、1.107.0ソースディストリビューションのビルド設定に追加された1行を通じて侵入しました。その行は隠しフォルダをwheelにコピーしますが、そのフォルダはソースディストリビューションには存在しません。また、このリリースはタグv1.107.0と一致せず、公開されたGitHub Actionsの実行によってビルドや公開が行われた形跡もありません。Safe Depは、Berri AIの非公開のリリースパイプラインが、攻撃者が改変したソースからwheelをビルドしたと中程度から高い確度で評価しています。侵害がどのように発生したかを確定できるのは、同社のパイプラインログだけです。
出典: Hacker News · 要約：HeadlinesBriefing