SecAtor

LiteLLM подверглась атаке на цепочку поставок: хакеры использовали скомпрометированные токены OAuth GitHub CLI для отправки и одобрения вредоносных пакетов в PyPI и Docker. Инцидент произошёл 21 октября и был связан с версией 1.107.0 популярного прокси-сервера с открытым исходным кодом для маршрутизации запросов между поставщиками LLM. Вредоносные пакеты находились в сети около трех часов и, по некоторым оценкам, были загружены более 49 000 раз, пока их не удалили из PyPI и н потерли в Docker Hub. Согласно расследованию LiteLLM, злоумышленники получили токены OAuth GitHub CLI для «одной учетной записи пользователя во внутренней системе LiteLLM, которая была доступна извне». Токены, вероятно, были украдены с помощью Claude Code, который при определенных обстоятельствах внедрял их в тело ответа и записывалось в логи LiteLLM. Злоумышленники, скорее всего, и извлекли токены из логов. Однако, по данным LiteLLM, до сих пор неясно, как злоумышленники получили доступ к внутренней системе развертывания или переместились внутри сети, поскольку у них был доступ к трем наборам учетных данных GitHub CLI для разработчиков. Злоумышленники использовали скомпрометированные учетные данные для отключения защиты ветвей, объединения изменения, которое указывало релизеру на другой репозиторий, и запуска скомпрометированного рабочего процесса GitHub, который указывал на похожий репозиторий, после чего подписали и опубликовали зараженные артефакты. Пользователи, загрузившие вредоносные пакеты LiteLLM версии 1.107.0 в период компрометации, были заражены RAT-программой. По данным LiteLLM, корпоративные клиенты, использующие её частный репозиторий, не пострадали. Вероятно, созданная с помощью ИИ и распространяемая из Berri-AI/litellm, выдающего себя за легитимный репозиторий BerriAI/litellm, полезная нагрузка извлекает три файла в корневую папку site-packages для выполнения при каждом запуске интерпретатора Python. Интерпретатор загружает инфокрад, нацеленный на системную информацию, данные браузера и файлы cookie, креды разработчика, переменные среды, секреты облачных сервисов (AWS, GCP и Azure), ключи API инструментов ИИ (Anthropic, GitHub Copilot, OpenAI и другие), закрытые ключи SSH, файлы истории командной оболочки и ключи GPG. Затем украденные данные шифруются и отправляются в litellm[.]dev. По данным Wiz, злоумышленники начали отрабатывать украденные учетные данные примерно через 4,5 часа после их кражи. В частности, исследователи наблюдали, как злоумышленники запрашивали данные из моделей Amazon Bedrock, используя украденные учетные данные AWS, что наводит на мысль о LLMjacking. Причем компонент RAT вредоносного ПО регулярно проверяет С2 злоумышленников, а также «тайник» на GitHub, запускает любой Python, который предоставляет злоумышленник. Пользователям, установившим LiteLLM версии 1.107.0, следует немедленно удалить его, сменить учетные данные и проверить свои системы на наличие вредоносных программ. Самая последняя чистая версия LiteLLM - 1.106.2.