LiteLLM rilascio pipeline hackerata per distribuire malware info-stealer

Hacker hanno compromesso il pacchetto PyPI del progetto LiteLLM e pubblicato immagini Docker malevole contenenti un payload che ruba credenziali, segreti e variabili d'ambiente. L'attacco alla supply chain ha interessato tutte le ruote PyPI (.whl) per la versione 1.107.0 di LiteLLM, colpendo sistemi Windows, Linux e macOS. LiteLLM è un SDK Python open source e gateway AI che consente alle applicazioni di accedere a modelli di intelligenza artificiale di diversi provider tramite un'API comune. Il progetto conta 61.800 stelle su GitHub e 92 milioni di download mensili su PyPI ed è utilizzato da aziende di alto profilo come NVIDIA, Netflix, AT&T e Okta. Il maintainer afferma che la pipeline di rilascio è stata compromessa il 21 ottobre e un attore minaccioso ha spinto la versione 1.107.0 al registro Docker e a PyPI. "Questa versione conteneva malware compilato che ruba credenziali e carica strumenti di esecuzione di codice remoto", ha dichiarato il maintainer, aggiungendo che i clienti che eseguono ambienti privati non sono stati impattati.

Secondo i ricercatori, l'attaccante non ha toccato il codice applicativo LiteLLM ma ha modificato solo il pacchetto di installazione per inserire tre file malevoli (cook.pth, cook.py e sitecustomize.py) nella directory della libreria Python dell'ambiente. Durante l'avvio normale, Python esegue le linee .pth e tenta poi di importare sitecustomize. Questo meccanismo fa sì che i payload vengano eseguiti prima dell'applicazione ogni volta che Python viene avviato nell'ambiente. Anche eseguire Python o pip per investigare un'installazione interessata attiva il malware. I dati rubati sono crittografati usando una chiave AES-256-CBC protetta da una chiave RSA-4096 e poi caricati su 'litellm[.]dev/healthcheck'. Uno dei file malevoli, sitecustomize.py, lancia un loader staccato che controlla un puntatore ospitato su GitHub ogni ora e scarica Python da un server esterno per l'esecuzione sull'host.