Een niet ingetrokken masterkey veroorzaakte een supply chain-aanval op LiteLLM, waarbij malware werd verspreid via een Python-pakket.
LiteLLM, een veelgebruikt open-source AI-hulpmiddel, heeft bevestigd dat een sleutel die in mei per ongeluk werd blootgesteld, de oorzaak was van een supply chain-aanval die naar schatting tienduizenden gebruikers vorige week trof. Uit een root-cause analyse van het project blijkt dat de aanval terug te voeren is op het onbedoeld publiceren van een configuratiebestand met de masterkey van een intern hulpmiddel voor het draaien van AI-agenten. Hoewel het bestand destijds werd verwijderd, werd de blootgestelde sleutel niet ingetrokken.
Begin oktober gebruikte een onbekende aanvaller deze sleutel om toegang te krijgen tot de tooling van LiteLLM en een toegangstoken te bemachtigen waarmee alle LiteLLM-repositories op GitHub konden worden beheerd. Volgens het initiële incidentrapport maakte de aanvaller vervolgens gebruik van meerdere beveiligingslagen om een versie van het hulpmiddel te verspreiden die credential-harvesting malware bevatte. Deze kwaadaardige versie werd ongeveer 49.000 keer gedownload via de Python Package Index (PyPI) en bleef daar circa twee uur beschikbaar, aldus de cloudbeveiligingsspecialist Wiz, die ook meldde dat gestolen cloudcredentials binnen enkele uren werden getest.
De malware was zo ontworpen dat deze bij het opstarten van de Python-omgeving actief werd, zelfs als LiteLLM zelf niet werd gebruikt, aldus Microsoft. Binnen enkele uren na upload probeerde de aanvaller gestolen inloggegevens voor Amazon AWS om te bepalen welke AI-modellen toegankelijk waren. Dit patroon staat bekend als "LLMjacking", waarbij criminelen gestolen cloudaccounts gebruiken om AI-diensten te draaien en de slachtoffers opdraaien voor de kosten. LiteLLM adviseert gebruikers die versie 1.107.0 hebben geïnstalleerd op een internetverbonden systeem ervan uit te gaan dat hun credentials zijn gestolen en alle wachtwoorden en toegangssleutels te wijzigen. Ook intrekt LiteLLM tokens binnen haar eigen systemen en leveranciersplatforms.
Dit is de tweede supply chain-compromittering van LiteLLM dit jaar. In maart werden eveneens kwaadaardige versies op PyPI gepubliceerd, een campagne die werd toegeschreven aan de TeamPCP-hackergroep. Australische autoriteiten hebben inmiddels twee verdachten aangehouden die lid zouden zijn van deze groep.
