I PyPI-paketet och Docker-avbildningen med LiteLLM har skadlig programvara installerats

Det har upptäckts skadliga versioner av biblioteket LiteLLM i PyPI-förvaret, som har 23 miljoner nedladdningar per vecka, samt skadlig kod i den officiella Docker-avbildningen av projektet. Det är inte första gången som ett sådant incident inträffar med LiteLLM — i mars i år publicerade angripare redan skadliga versioner efter att ha stulit medarbetares inloggningsuppgifter. Den här gången publicerade angriparna version 1.107.0 av LiteLLM, som hade inbäddad skadlig kod för att möjliggöra fjärrkörning av kommandon och för att söka och skicka inloggningsuppgifter, nycklar och åtkomsttoken.

Den skadliga koden installerades under byggprocessen utan att git-förvaret komprometterades. Efter installationen aktiveras den skadliga koden före importen av LiteLLM genom att filerna cook.pth, cook.py och sitecustomize.py installeras i Python-biblioteksdatan. Dessa filer körs varje gång Python körs i systemet utan att användaren behöver göra några åtgärder.

Först kör Python filen cook.pth, som bara innehåller en rad med "import cook" för att importera skriptet cook.py som samlar in inloggningsuppgifter. Därefter importeras skriptet sitecustomize.py, som används för att ladda extern kod i bakgrunden (laddningsparametrar specifiseras via länken "raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt"). Den skadliga koden i båda skripten är komprimerad med zlib och kodad med Base64. En indikator på kompromettering kan vara förekomsten av filerna "tmp/.pc_once_*" och "tmp/remote_code_loader.lock" i systemet.

Efter aktivering skannar filen cook.py anslutningsparametrarna till molntjänster, förråd och kontinuerliga integrationssystem (AWS, Azure, Google Cloud, Kubernetes, Docker, GitHub CLI, Vault, Terraform, Packer), utvecklarkonton, Git-anslutningsinställningar, npm- och PyPI-inställningar, filer med miljövariabler, privata nycklar för SSH, PGP och TLS, inställningar för AI-verktyg, webbläsardatabaser med cookies, sparad data och historik, processinformation och miljövariabler. De upptäckta uppgifterna krypteras med AES-256-CBC + RSA-4096-algoritmer och skickas i form av en verifieringsförfrågan till webbplatsen litellm.dev, skapad av angriparna.

Källa: opennet.ru