Скомпрометированная версия LiteLLM 1.107.0 на PyPI устанавливает программу кражи учётных данных и бэкдор для удалённого выполнения кода. Все семь wheel-пакетов этого релиза для Linux, macOS и Windows устанавливают три файла в site-packages. Два из них запускаются при старте любого процесса Python на хосте, даже если этот процесс никогда не импортирует litellm. Исходный код на GitHub не содержит этих файлов, а PyPI впоследствии удалил релиз. Версии 1.106.2, 1.107.0rc1 и 1.107.0rc2 чисты, как и сопутствующие пакеты litellm-proxy-extras==0.4.110 и litellm-enterprise==0.1.78.
Программа кражи, cook.py, собирает SSH-ключи, облачные учётные данные, секреты CI/CD, токены инструментов ИИ, пароли из браузера и ключи провайдеров LLM, хранящиеся в базе данных прокси LiteLLM. Она шифрует данные и отправляет их на www.litellm[.]dev. Второй файл, sitecustomize.py, запускает фоновый демон, который работает каждый час. Демон читает адрес сервера из файла на GitHub, повторно запускает программу кражи и загружает с этого сервера код и выполняет его.
Имплант попал в систему через одну строку, добавленную в конфигурацию сборки исходного дистрибутива 1.107.0. Эта строка копирует скрытую папку в wheel, но самой папки в исходном дистрибутиве нет. Релиз также не соответствует своему тегу v1.107.0, и ни один публичный запуск GitHub Actions не собирал и не публиковал его. Safe Dep с умеренной и высокой степенью уверенности оценивает, что закрытый конвейер выпуска Berri AI собрал wheel-пакеты из исходного кода, изменённого злоумышленником. Подтвердить, как именно произошла компрометация, могут только журналы конвейера компании.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing