Hakerzy uzyskali dostęp do infrastruktury projektu LiteLLM i opublikowali zmodyfikowane pakiety instalacyjne dla systemu PyPI oraz obrazy Docker. Atak dotknął wszystkich pakietów instalacyjnych dla wersji 1.107.0 na systemy Windows, Linux oraz macOS. Naruszenie łańcucha dostaw oprogramowania wykryto w październiku, a złośliwe pliki były aktywne przez około dwie godziny, zanim zostały usunięte przez administratorów projektu.
Według analiz firm zajmujących się bezpieczeństwem, autorzy ataku nie modyfikowali głównego kodu aplikacji LiteLLM. Zmiany objęły wyłącznie proces budowania paczek, w wyniku czego do katalogu bibliotek języka Python trafiły trzy dodatkowe pliki o nazwach cook.pth, cook.py oraz sitecustomize.py. Mechanizm ten uruchamiał szkodliwy ładunek automatycznie przy każdym wystartowaniu środowiska Python, a także podczas próby uruchomienia narzędzia pip w celu zdiagnozowania problemu.
Przechwycone przez złośliwe oprogramowanie dane obejmowały poświadczenia chmurowe dla usług AWS, Azure, Google Cloud, Kubernetes i Docker, klucze prywatne do platform takich jak GitHub, npm oraz PyPI, a także pliki konfiguracyjne ze zmiennymi środowiskowymi. Malware kradł również zapisane w przeglądarkach pliki cookie, dane uwierzytelniające do narzędzi sztucznej inteligencji oraz historię powłoki systemowej. Pozyskane informacje były szyfrowane i wysyłane na zewnętrzny adres kontrolny.
Zalecanym działaniem zaradczym jest natychmiastowe wstrzymanie dotychczasowych wdrożeń i inspekcja środowiska bez uruchamiania interpretera. Usunięcie samego katalogu pakietu LiteLLM nie wystarcza, ponieważ w systemie mogą pozostawać pliki startowe oraz pobrany loader. Administratori powinni odizolować zakażone systemy, odbudować je z czystych kopii zapasowych, wycofać wszystkie narażone klucze oraz powrócić do stabilnej wersji 1.106.2.
