Trójai LiteLLM-csomag lopott hitelesítő adatokat
Rosszindulatú kód került a LiteLLM 1.107.0 verziójába, amely rendszer-, böngésző-, fejlesztői, felhő- és AI-eszközökhöz tartozó titkokat gyűjtött. A csomagot a PyPI-n karanténba helyezték, a biztonságos legfrissebb verzió az 1.106.2.
- A LiteLLM 1.107.0 rosszindulatú változata október 21-én került fel a PyPI-ra.
- A csomag hitelesítő adatokat és AI-eszközökhöz tartozó titkokat gyűjtött.
- A trójai változat GHCR- és Docker Hub-konténerekben is megjelent.
- A PyPI-n a csomagot 1:20 UTC-kor karanténba helyezték.
- A Wiz szerint a legutóbbi biztonságos verzió az 1.106.2.
A PyPI-ról és konténerekből is elérhető volt
A Wiz szerint a LiteLLM rosszindulatú változatát október 21-én, 11:39 UTC-kor töltötték fel a PyPI csomagtárba. Az 1.107.0 verziót 1:20 UTC-kor karanténba helyezték. A trójai változat a GHCR-en és a Docker Hubon közzétett LiteLLM-konténerekben is megjelent.
Az érintett konténerek között szerepeltek az v1.107.0, latest, main-latest és main-stable címkék. A Wiz közlése szerint a legutóbbi biztonságos verzió az 1.106.2.
Indításkor aktiválódott az adatlopó
A rosszindulatú csomag telepítésekor három fájl került közvetlenül a Python site-packages könyvtárának gyökerébe: cook.pth, cook.py és sitecustomize.py. Ezeket úgy alakították ki, hogy a Python-értelmező indításakor végrehajtódjanak.
A cook.pth importálja a cook modult, amely betölti a cook.py fájlt. Ez a Wiz elemzése szerint visszafejti saját kódját, elindítja az adatlopó rutint, majd egy jelzőfájlt ír a /tmp/.pc_once_72129118c59f5636c0bb útvonalra. Ez Windows alatt meghiúsulhat, mert a /tmp/ útvonal gyakran nem létezik.
Az adatlopó rendszer-, böngésző-, fejlesztői, felhő- és AI-eszközökhöz tartozó titkokat gyűjt, titkosítja őket, majd POST-kéréssel továbbítja a www.litellm.dev/healthcheck címre. A Wiz szerint ezt a domaint a támadók irányították, és a LiteLLM infrastruktúráját utánozta.
Második fázisú kód letöltésére is felkészült
A Python-értelmezők megpróbálják végrehajtani a sitecustomize.py fájlt is, ez azonban csak Linux és macOS rendszereken fut le. A szkript egy GitHubon elhelyezett, úgynevezett dead dropból próbálja lekérni a domain.txt fájlt, majd válasz esetén egy második fázisú Python-szkriptet töltene le a megadott domain /codepy útvonaláról, és futtatná.
A Wiz elemzésének időpontjában a domain.txt fájl üres maradt. Az érintett GitHub-repozitóriumot 13:30 UTC-kor eltávolították.
Ezeket a változatokat és képeket kell ellenőrizni
A Wiz felsorolása szerint érintettek az 1.107.0 verzióhoz tartozó macOS-, Linux-, musl Linux- és Windows-csomagok, továbbá több konténerkép a GHCR-en és a Docker Hubon. A listában szerepelnek a ghcr.io/berriai/litellm:v1.107.0, a litellm-database:v1.107.0, a litellm-non_root:v1.107.0, valamint a docker.io/litellm/litellm képei.
A Wiz azt javasolja ügyfeleinek, hogy tekintsék át a vállalat Threat Intel Centerének, Supply Chain Attack Targeting LiteLLM című riasztását.
Wiz: LiteLLM Compromised, Steals Credentials
