Se ha registrado la publicación en el repositorio PyPI de una versión maliciosa de la biblioteca LiteLLM, que cuenta con 23 millones de descargas por semana, así como la inserción de código malicioso en la imagen oficial de Docker del proyecto. Este no es el primer incidente similar con LiteLLM; en marzo de este año, los atacantes ya habían publicado versiones maliciosas tras interceptar las credenciales del mantenedor. Esta vez, los atacantes colocaron la versión LiteLLM 1.107.0, en la que se incorporó código malicioso para organizar la ejecución remota de comandos, así como la búsqueda y envío de credenciales, claves y tokens de acceso.
El código malicioso fue inyectado durante el proceso de construcción sin comprometer el repositorio git. Tras la instalación, el código malicioso se activa antes de que se importe LiteLLM mediante la colocación de los archivos cook.pth, cook.py y sitecustomize.py en el directorio de bibliotecas de Python. Estos archivos se ejecutan cada vez que se corre Python en el sistema sin que el usuario tenga que realizar ninguna acción.
Primero, Python ejecuta el archivo cook.pth, que contiene solo una línea ‘import cook’ para importar el script cook.py, que recoge las credenciales. Luego se importa el script sitecustomize.py, utilizado para cargar de manera oculta código externo (los parámetros de carga se determinan a través del enlace ‘raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt’). El código malicioso en ambos scripts se comprime mediante zlib y se codifica utilizando Base64. Un indicio de compromiso puede ser la aparición en el sistema de los archivos ‘/tmp/.pc_once_*’ y ‘/tmp/remote_code_loader.lock’.
Después de la activación, el archivo cook.py escanea los parámetros de conexión a servicios en la nube, repositorios y sistemas de integración continua (AWS, Azure, Google Cloud, Kubernetes, Docker, GitHub CLI, Vault, Terraform, Packer), cuentas de desarrolladores, parámetros de conexión a Git, configuraciones de npm y PyPI, archivos con variables de entorno, claves secretas para SSH, PGP y TLS, configuraciones de herramientas de IA, bases de datos del navegador con cookies, datos almacenados y el historial, información sobre procesos y variables del entorno. Los datos recopilados se cifran utilizando algoritmos AES-256-CBC + RSA-4096 y se envían en forma de una solicitud de verificación al sitio litellm.dev, creado por los delincuentes.
Fuente: opennet.ru
