LiteLLM 被纳入供应链攻击，传播凭据窃取器和后门

此次入侵影响通过 PyPI wheel 包和 Docker 镜像分发的 LiteLLM 1.107.0。该 Python 包随后已在 Python Package Index（PyPI）上被隔离，恶意 Docker 镜像已被移除。

LiteLLM 安全总监 Oliver Jensen 表示正在调查此事件，仍在追踪威胁行动者发布恶意版本所利用的原始攻击向量。Jensen 表示：“我们已经确认，恶意操作是通过三名工程师的 GitHub 账户实施的，似乎是通过被盗 GitHub CLI OAuth 令牌进行的。威胁行动者使用一名用户的账户触发 project-releaser 运行，并使用另一名用户的账户批准该运行。此次攻击涉及的所有令牌均已撤销。”

“我们尚未确定威胁行动者获取相关令牌的机制，因此还不能断言这些 GitHub 账户不会遭到进一步访问。作为临时缓解措施，我们已从 GitHub 组织中删除了一名（未受影响）用户之外的所有用户。”

另外，LiteLLM 表示已更新公共注册表，移除与其 GitHub 组织之间的任何可信链接，以防止进一步发布恶意软件包。对恶意版本的分析显示，它能够收集云凭据、私钥、浏览器数据以及 AI 开发工具的认证文件。受影响的 wheel 包如下：

• litellm-1.107.0-cp310-abi3-macosx_10_12_x86_64.whl

• litellm-1.107.0-cp310-abi3-macosx_11_0_arm64.whl

• litellm-1.107.0-cp310-abi3-manylinux_2_28_aarch64.whl

• litellm-1.107.0-cp310-abi3-manylinux_2_28_x86_64.whl

• litellm-1.107.0-cp310-abi3-musllinux_1_2_aarch64.whl

• litellm-1.107.0-cp310-abi3-musllinux_1_2_x86_64.whl

• litellm-1.107.0-cp310-abi3-win_amd64.whl

• litellm-1.107.0.tar.gz（不含载荷文件，但包含被篡改的 pyproject.toml）

StepSecurity 公司表示：“第一个载荷是一个自称 privcollect 的凭据窃取程序。第二个载荷会派生一个后台守护进程，每小时检查一个 GitHub 死信箱，并运行攻击者提供的任意 Python 代码。”

该恶意软件由 Python 在导入 LiteLLM 之前通过一个路径文件（“cook.pth”）启动，该文件旨在解释器启动时自动执行代码。值得注意的是，今年3月早些时候作为 TeamPCP 供应链攻击一部分发生的 LiteLLM 入侵事件中也观察到了相同行为。

“cook.pth”文件包含一行内容“import cook”，进而启动凭据收集载荷。该载荷会收集云令牌、开发者账户和私钥、AI 工具凭据 JSON 文件、与 Chromium 和 Firefox 相关的浏览器数据以及环境变量。

该恶意软件还能针对 LiteLLM 部署，目的是提取代理保存的凭据和模型配置。收集到的数据会打包成 GZIP 压缩的 TAR 归档，并通过 HTTP POST 请求发送到“litellm[.]dev/healthcheck”。

此外，该恶意软件还被设计为读取位于 GitHub 仓库（“github[.]com/letters9813”）内的文本文件（“domain.txt”）的内容，检查其中是否包含一个域名，如果包含，则运行同一个窃取程序，最后向“<domain>/codepy”发起 HTTP GET 请求并执行响应内容。该 GitHub 仓库目前返回 404 错误。

建议下载了恶意版本的用户在干净环境中撤销并替换已暴露的凭据，并通过摘要将版本固定到 1.106.2。