In das PyPI-Paket und das Docker-Image von LiteLLM wurde Malware eingeschleust

Eine schadhafte Veröffentlichung der LiteLLM-Bibliothek wurde im PyPI-Repository festgestellt, die 23 Millionen Downloads pro Woche aufweist, sowie das Einfügen von schädlichem Code in das offizielle Docker-Image des Projekts. Dies ist nicht der erste Vorfall bei LiteLLM — im März dieses Jahres hatten Angreifer bereits schadhafte Veröffentlichungen nach dem Abfangen von Zugangsdaten des Maintainers veröffentlicht. Dieses Mal haben Angreifer die Version LiteLLM 1.107.0 veröffentlicht, in die schadhafter Code zum Remote-Execution von Befehlen eingebaut wurde, sowie zum Suchen und Versenden von Zugangsdaten, Schlüsseln und Zugriffstoken.

Der schadhafte Code wurde im Build-Prozess ohne Kompromittierung des Git-Repositories eingefügt. Nach der Installation wird der schadhafte Code vor dem Import von LiteLLM durch das Einfügen der Dateien cook.pth, cook.py und sitecustomize.py in das Python-Bibliotheksverzeichnis aktiviert. Diese Dateien werden bei jedem Python-Durchlauf im System gestartet, ohne dass der Benutzer eine Aktion durchführen muss.

Zunächst lädt Python die Datei cook.pth, die nur eine Zeile „import cook“ enthält, um das Skript cook.py zu importieren, das die Zugangsdaten sammelt. Danach wird das Skript sitecustomize.py importiert, das zum Hintergrundladen von externem Code verwendet wird (die Ladeparameter werden über den Link „raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt“ definiert). Der schadhafte Code in beiden Skripten ist durch zlib komprimiert und mit Base64 kodiert. Ein Anzeichen für eine Kompromittierung kann das Erscheinen der Dateien „/tmp/.pc_once_*“ und „/tmp/remote_code_loader.lock“ im System sein.

Nach der Aktivierung scannt die Datei cook.py die Verbindungsparameter zu Cloud-Diensten, Repositories und Continuous Integration-Systemen (AWS, Azure, Google Cloud, Kubernetes, Docker, GitHub CLI, Vault, Terraform, Packer), Entwicklerkonten, Git-Verbindungsparameter, npm- und PyPI-Einstellungen, Umgebungsvariablen-Dateien sowie geheime Schlüssel für SSH, PGP und TLS, AI-Tool-Einstellungen, Browser-Datenbanken mit Cookies, gespeicherten Daten und Verlaufsinformationen, sowie Informationen über Prozesse und Umgebungsvariablen. Die entdeckten Daten werden mit den Algorithmen AES-256-CBC + RSA-4096 verschlüsselt und in Form einer Überprüfungsanfrage an die von den Angreifern erstellte Website litellm.dev gesendet.

Quelle: opennet.ru