Zarejestrowano publikację złośliwej wersji biblioteki LiteLLM w repozytorium PyPI, która ma 23 mln pobrań tygodniowo, oraz wstrzyknięcie złośliwego kodu do oficjalnego obrazu Dockera projektu. To nie pierwszy taki incydent z LiteLLM — w marcu tego roku atakujący już publikowali złośliwe wersje po przejęciu danych logowania maintenanta. Tym razem atakujący umieścili wersję LiteLLM 1.107.0, w którą wbudowano złośliwy kod do zdalnego wykonywania poleceń oraz do wyszukiwania i wysyłania danych logowania, kluczy i tokenów dostępu.
Złośliwy kod został wstrzyknięty na etapie procesu budowy bez kompromitacji repozytorium git. Po zainstalowaniu złośliwy kod aktywuje się przed importem LiteLLM przez instalację plików cook.pth, cook.py i sitecustomize.py w katalogu z bibliotekami Pythona. Pliki te są uruchamiane przy każdym wykonaniu Pythona w systemie bez konieczności podejmowania jakichkolwiek działań przez użytkownika.
Na początku Python uruchamia plik cook.pth, który zawiera tylko jedną linię „import cook”, aby zaimportować skrypt cook.py, zbierający dane logowania. Następnie importowany jest skrypt sitecustomize.py, używany do w tle ładowania zewnętrznego kodu (parametry ładowania są określane za pomocą linku „raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt”). Złośliwy kod w obu skryptach jest skompresowany przy użyciu zlib i zakodowany metodą Base64. Wskazaniem kompromitacji może być pojawienie się w systemie plików „/tmp/.pc_once_*” i „/tmp/remote_code_loader.lock”.
Po aktywacji plik cook.py skanuje parametry połączenia do usług w chmurze, repozytoriów i systemów ciągłej integracji (AWS, Azure, Google Cloud, Kubernetes, Docker, GitHub CLI, Vault, Terraform, Packer), kont deweloperów, parametry połączeń z Git, ustawienia npm i PyPI, pliki z zmiennymi środowiskowymi, klucze prywatne do SSH, PGP i TLS, ustawienia narzędzi AI, bazy danych przeglądarkowych z Cookie, przechowywane dane i historia, informacje o procesach i zmiennych środowiskowych. Wykryte dane są szyfrowane przy użyciu algorytmów AES-256-CBC + RSA-4096 i wysyłane w formie żądania kontrolnego na stronę litellm.dev, utworzoną przez przestępców.
Źródło: opennet.ru
