Неизвестные злоумышленники скомпрометировали процесс выпуска LiteLLM в среду, распространив вредоносную версию (1.107.0), содержащую вредоносное ПО, предназначенное для кражи облачных учетных данных и учетных данных AI, а также троян удаленного доступа (RAT), способный выполнять произвольный код на зараженных машинах через реестры PyPI и Docker.
PyPI поместил в карантин троянизированную версию популярного открытого AI-шлюза в течение нескольких часов, а образ Docker (litellm/litellm:1.107.0) был удален как из Docker Hub, так и из GHCR вскоре после этого — но все, кто запусхал скомпрометированный пакет на люой платформе, должны считать, что их секреты украдены.
«Проверьте наличие /тmp/.pc_once_* (если этот файл существет, эксфильтрация уже произошла) и /тmp/remote_code_loader.lock (если этот файл существует, демон C2 работал или все еще работает)», — посоветовал охотник за вредоносным ПО из Aikido Security Илиас Макари. «То же самое относится ко всем, кто запоускл официальный образ Docker litellm/litellm:1.107.0 или загружал его по тегам latest, main-latest или main-stable.
Последняя безопасная версия — v1.106.2.
Хотя пока рано говорить о масштабах этой последней атаки на цепочку поставок LiteLLM – более ранняя компрометация LiteLLM в марте потенциально затронула более 2 500 организаций и 434 000 CI/CD-пайплайнов по всему миру, по данным CloudSEK, – обязательно отнеситесь к этим мерам серьезно и проверьте среды на наличие любых индикаторов компрометации.
Aikido, подразделение облачной безопасности Wiz от Google, и поставщик безопасности цепочек поставок Socket опубликовали подробные инструкции по поиску угроз и смягчению последствий для пользователей LiteLLM и команд безопасности, так что немедленно ознакомьтесь с ними.
LiteLLM, разработанный BerriAI, предоставляет общий интерфейс для LLM-провайдеров, включая OpenAI, Anthropic и Google Gemini, и получает около 23 миллионов загрузок в неделю. Это означает, что скомпрометированная установка может работать рядом с API-ключами LLM-провайдеров, облачными идентификаторами и строками подключения к базам данных — и раскрыть массу ценных учетных данных, секретов и других конфиденциальных данных тому, кто загрузил вредоносный пакет.
«Команды, использующие версию 1.107.0, должны прекратить ее развертывание и проверить среды, где Python запускался после установки, включая прокси-контейнеры и CI-раннеры», — заявили исследователи Socket в среду.
Вредоносная версия была загружена в 11:39 UTC, и, по словам экспертов Wiz Бенджамина Рида и Рами Маккарти, полезная нагрузка исходит из вредоносных коммитов, сделанных на github.com/Berri-AI/litellm, что является дефисным вариантом легитимной органиации BerriAI.
Злоумышленники испоьзовали этот репозиторий, чтоы внедрить три вредоносных файла в конвейер выпуска LiteLLM. П о словам Макари, к ним отнсятся cook.пth, котрый заставляет вт рой файл, cok.пу, запускаться автоматически каждый раз, когда на машне вызывается Pthon, без каких-либо дополнительных действий пользователя.
Тем временем cok.py содержит ин остлер, а третий файл, sitecustomize.py, является RAT. Python также выполняет RAT при запуске интерпретатора, и этот файл порождает фоновый демон, который каждый час опрашивает инфраструктуру злоумышленника на предмет новых команд для выполнения.
После выполнения инфостилер собирает массу конфиденциальных данных в 16 модулях, нацеленых на браузеры, облачных провйдеров и AI-сервсы, по словам Рида и Маккарти.
Он крадет учетные данные браузера и куки из Chrome, Firefox, Edge и Safari, а также учетные данные AWS из ~/.aws/, переменные окружения и метаданные экземпляров EC2/ECS (IMDS). Он также собирает ключи сервисных аккаунтов Google Cloud Platform и учетные данные приложения по умолчанию, а также токены Microsoft Azure из кэша CLI.
А затем он также похищает API-ключи для OpenAI, Anthropic, Cohere и других LLM-провайдеров, а также закрытые ключи SSH, ключи GPG и файлы истории оболочек.
Затем вредоносное ПО шифрует все украденные данные с использованием AES-256-CBC, оборачивает ключ шифрования открытым ключом RSA-4096 и отправляет зашифрованные данные через HTTP POST на контролируемый злоумышленником домен: http://www[.]litellm[.]dev/healthcheck.
BerriAI не ответил на запросы The Register. Это развивающаяся история, и мы продолжим обновлять ее по мере получения дополнительных подробностей.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
