В PyPI са публикувани зловредни версии на библиотеката LiteLLM, която има 95 млн. изтегляния на месец.

Разработчиците на библиотеката LiteLLM, която е с 95 млн. изтегляния на месец и 3.5 млн. за последните 24 часа, съобщиха за компрометиране на проекта. Нападателите успели да прихванат данни за достъп на поддържащия и да публикуват в PyPI две зловредни версии — 1.82.7 и 1.82.8, съдържащи код за кражба на ключове и пароли от системите на потребителите. В момента зловредните версии са премахнати от PyPI, а проектът временно замразен до завършване на разследването.

Токенът за достъп до акаунта LiteLLM в PyPI е попаднал в ръцете на нападателите поради използването на скенер за сигурност на зависимостите trivvy в системата за непрекъсната интеграция. Преди това, в края на февруари, нападателите успели да получат достъп до инфраструктурата на проекта Trivy, използвайки уязвимост в обработчика pull_request_target, стартиран в системата за непрекъсната интеграция Trivy. След компрометирането нападателите публикували зловредни версии Trivy 0.69-0.69, подменили GitHub Action обработчика trivy-action и разположили модифициран Docker образ с Trivy.

На 24 март в 11:30 (MSK) прихванатите данни за достъп на поддържащия LiteLLM (krrishdholakia) бяха използвани за директно публикуване на зловредни версии LiteLLM 1.82.7 и 1.82.8 в PyPI, заобикаляйки официалния GitHub CI/CD. Репозиторията на проекта в GitHub не е пострадала — зловредната активност е наблюдавана само в PyPI. В версията LiteLLM 1.82.7 зловредният код е вграден в файла litellm/proxy/proxy_server.py и се активира при импорт на litellm.proxy. В версия 1.82.8 е включен файл site-packages/litellm_init.pth, а в файла proxy_server.py е добавен обработчик, пакетиран в base64 формат и активиран при всеки запуск.

Добавеният зловреден код извършвал сканиране и изпращане на конфиденциални данни. Изпращани са намерените в системата SSH и SSL/TLS ключове, съдържанието на променливи на околната среда, данни за достъп до AWS, GCP, Azure и K8s, ключове от криптокошельки, пароли за СУБД, история на операциите в командния интерпретатор, конфигурационни файлове от Git, CI/CD, пакетни мениджъри и Docker. Откритите данни са криптирани с използване на алгоритми AES-256-CBC + RSA-4096 и изпратени с HTTP POST заявка на сайта "https://models.litellm.cloud/" (домейн litellm.cloud е регистриран няколко часа преди публикуването на зловредните версии).

На потребителите на LiteLLM се препоръчва да се уверят, че в каталога site-packages няма файл litellm_init.pth, да актуализират всички ключове и идентификационни данни при инсталиране на версия 1.82.7 или 1.82.8, да фиксират конкретни версии на LiteLLM в параметрите за зареждане на зависимости и да се сверят използваните версии на LiteLLM с кода на изданията в GitHub.

Източник: opennet.ru