Op 21 oktober is een trojan-versie van LiteLLM geüpload naar PyPI en Docker, die bij installatie inloggegevens steelt en exfiltreert.
Op 21 oktober om 11:39 UTC is een kwaadaardige versie (1.107.0) van het LiteLLM-pakket geüpload naar PyPI. Deze versie werd om 1:20 UTC door PyPI in quarantaine geplaatst. Ook LiteLLM Docker-containers op GHCR en Docker Hub bevatten deze geïnfecteerde versie, waaronder de tags v1.107.0, latest, main-latest en main-stable. De laatst veilige versie is v1.106.2.
Bij installatie van het kwaadaardige pakket worden drie bestanden direct in de root van site-packages uitgepakt: cook.pth, cook.py en sitecustomize.py. Deze bestanden worden uitgevoerd zodra een Python-interpreter start. cook.pth importeert cook.py, dat zichzelf deobfusceert, een stealer-routine uitvoert en een marker schrijft naar /tmp/.pc_once_72129118c59f5636c0bb (deze stap faalt op Windows vanwege het ontbreken van de /tmp/ map).
De stealer verzamelt vervolgens systeem-, browser-, ontwikkelaar-, cloud- en AI-toolsecrets, versleutelt deze en verstuurt ze via een POST-verzoek naar www.litellm.dev/healthcheck, een domein dat door de aanvaller wordt beheerd en zich voordoet als LiteLLM-infrastructuur. Daarnaast probeert de Python-interpreter sitecustomize.py uit te voeren, wat alleen op Linux en MacOS gebeurt. Dit script probeert een bestand domain.txt op te halen uit een GitHub dead drop (letters9813/pythonclient-test/main/domain.txt). Als er een reactie komt, wordt een tweede fase Python-script gedownload en uitgevoerd. Tijdens de analyse was domain.txt echter nooit gevuld.
De repository met de kwaadaardige code is inmiddels offline gehaald (rond 13:30 UTC). Wiz adviseert klanten om de advisory over de supply chain-aanval op LiteLLM te raadplegen voor meer details en mitigatie.
