Het LiteLLM Python-pakket is gecompromitteerd via een supply chain-aanval waarbij een credential stealer en backdoor werden verspreid via PyPI en Docker.
Het populaire LiteLLM Python-pakket is slachtoffer geworden van een software supply chain-aanval waarbij een credential stealer en een backdoor werden verspreid. Dit blijkt uit rapporten van onder andere SafeDep, Socket, StepSecurity en Upwind. De aanval trof versie 1.107.0 van LiteLLM, die via PyPI-wheels en Docker-images werd verspreid. Het Python-pakket is inmiddels geïsoleerd op PyPI en de kwaadaardige Docker-images zijn verwijderd.
Oliver Jensen, security director bij LiteLLM, gaf aan dat het onderzoek naar de aanval nog loopt en dat men nog bezig is het oorspronkelijke aanvalspad te achterhalen. Volgens Jensen werden de kwaadaardige acties uitgevoerd via drie GitHub-accounts van engineers, vermoedelijk door gestolen GitHub CLI OAuth-tokens. De aanvaller gebruikte het account van één gebruiker om het project-releaser proces te starten en een ander account om dit goed te keuren. Alle betrokken tokens zijn inmiddels ingetrokken. Omdat het nog onduidelijk is hoe de aanvaller de tokens heeft bemachtigd, is als tijdelijke maatregel het aantal gebruikers in de GitHub-organisatie teruggebracht tot één onschuldig account.
Daarnaast heeft LiteLLM publieke registraties aangepast om verdere publicatie van kwaadaardige pakketten via hun GitHub-organisatie te voorkomen. Analyse van de geïnfecteerde versie toont dat deze is uitgerust om cloud-credentials, private keys, browserdata en authenticatiebestanden voor AI-ontwikkeltools te verzamelen. De malware wordt al uitgevoerd bij het starten van de Python-interpreter, nog voordat LiteLLM wordt geïmporteerd, via een zogenoemd "cook.pth"-bestand dat automatisch code uitvoert.
De eerste payload, een credential stealer genaamd privcollect, verzamelt onder meer cloudtokens, ontwikkelaarsaccounts, private sleutels, AI-tooling credentials en browserdata van Chromium en Firefox. De tweede payload start een achtergrondproces dat elk uur een GitHub dead drop controleert en Python-code uitvoert die door de aanvaller wordt geleverd. De verzamelde gegevens worden gecomprimeerd en via een HTTP POST-verzoek naar een externe server gestuurd.
De malware kan ook LiteLLM-implementaties aanvallen om opgeslagen proxy-credentials en modelconfiguraties te stelen. Verder leest het een tekstbestand uit een GitHub-repository om een domein te controleren en voert het indien aanwezig dezelfde stealer uit, gevolgd door een HTTP GET-verzoek dat de respons als Python-code uitvoert. De betreffende GitHub-repository geeft momenteel een 404-foutmelding.
Gebruikers die versie 1.107.0 van LiteLLM hebben gedownload, wordt geadviseerd om alle mogelijk blootgestelde credentials in een schone omgeving in te trekken en te vervangen. Daarnaast wordt aangeraden om versie 1.106.2 te gebruiken en deze te verifiëren via de digest.
