La recente compromissione del sistema di distribuzione di LiteLLM ha rivelato un attacco di supply chain di notevole portata. Mercoledì, un gruppo di criminali informatici è riuscito a distribuire una versione malevola del software (1.107.0), contenente malware progettato per rubare credenziali di cloud e intelligenza artificiale, oltre a un trojan di accesso remoto (RAT) capace di eseguire codice arbitrario sui computer infetti, attraverso registri PyPI e Docker.
In meno di alcune ore, PyPI ha messo in quarantena la versione compromessa dell’applicazione, mentre l’immagine Docker (litellm/litellm:1.107.0) è stata rimossa sia da Docker Hub che da GHCR. Tuttavia, chiunque abbia eseguito il pacchetto compromesso su qualsiasi piattaforma dovrebbe considerare che le proprie credenziali siano state rubate.
“Controllate la presenza di /tmp/.pc_once_* (l’exfiltrazione è già avvenuta se questo file esiste) e /tmp/remote_code_loader.lock (il daemon C2 è stato attivato o è ancora attivo se questo file esiste),” ha consigliato Ilyas Makari, esperto di malware di Aikido Security. “Lo stesso vale per chi ha eseguito l’immagine Docker ufficiale litellm/litellm:1.107.0, o l’ha scaricata tramite i tag latest, main-latest o main-stable.
La versione più recente considerata sicura è la v1.106.2.
Sebbene sia ancora prematuro valutare l’ampiezza di questo attacco alla supply chain di LiteLLM, una compromissione precedente risalente a marzo avrebbe potuto esporre oltre 2.500 organizzazioni e 434.000 pipeline CI/CD in tutto il mondo, secondo CloudSEK. È fondamentale seguire seriamente queste indicazioni e controllare gli ambienti per eventuali indicatori di compromissione.
Aikido, la divisione di sicurezza cloud di Google, e il fornitore di sicurezza della supply chain Socket hanno pubblicato istruzioni dettagliate per la minaccia e per la mitigazione, consigliando agli utenti di LiteLLM e ai team di sicurezza di prenderle in considerazione quanto prima.
LiteLLM, sviluppato da BerriAI, fornisce un’interfaccia comune per i fornitori di LLM, tra cui OpenAI, Anthropic e Google Gemini, e registra circa 23 milioni di download settimanali. Ciò significa che un’installazione compromessa può funzionare insieme alle chiavi API dei fornitori di LLM, alle identità cloud e alle stringhe di connessione al database, esponendo una grande varietà di credenziali, segreti e altre informazioni sensibili a chi ha caricato il pacchetto malevolo.
“I team che utilizzano la versione 1.107.0 dovrebbero interrompere il deploy e indagare sugli ambienti in cui è stato eseguito Python dopo l’installazione, inclusi i container proxy e i runner CI,” hanno affermato i ricercatori di Socket.
La versione malevola è stata caricata alle 11:39 UTC, e secondo i professionisti di Wiz, Benjamin Read e Rami McCarthy, il payload deriva da commit malevoli effettuati su github.com/Berri-AI/litellm, una variante con trattino dell’organizzazione legittima BerriAI.
I malfattori hanno utilizzato questo repository per iniettare tre file malevoli nella pipeline di rilascio di LiteLLM. Questi, secondo Makari, includono cook.pth, che provoca l’esecuzione automatica del secondo file, cook.py, ogni volta che Python è invocato sulla macchina, senza necessità di ulteriore intervento dell’utente. Il file cook.py contiene l’infostealer, mentre il terzo file, sitecustomize.py, è il RAT. Python esegue anche il RAT all’avvio dell’interprete, creando un daemon in background che interroga l’infrastruttura dell’attaccante ogni ora per nuovi comandi da eseguire.
Una volta eseguito, l’infostealer raccoglie una grande quantità di dati sensibili attraverso 16 moduli, mirando a browser, fornitori di cloud e servizi AI, secondo Read e McCarthy. Ruba credenziali e cookie dei browser Chrome, Firefox, Edge e Safari, oltre a credenziali AWS dal ~/.aws/, variabili d’ambiente e metadati delle istanze EC2/ECS (IMDS). Inoltre, raccoglie le chiavi di account di servizio della Google Cloud Platform e le credenziali predefinite dell’applicazione, insieme ai token di Microsoft Azure presenti nella cache CLI.
In aggiunta, il malware sottrae chiavi API per OpenAI, Anthropic, Cohere e altri fornitori di LLM, oltre a chiavi private SSH, chiavi GPG e file di cronologia della shell.
Il malware quindi crittografa tutti questi dati rubati utilizzando AES-256-CBC, avvolge la chiave di crittografia con una chiave pubblica RSA-4096 e invia i dati crittografati tramite POST HTTP a un dominio controllato dall’attaccante: http://www[.]litellm[.]dev/healthcheck.
Al momento, BerriAI non ha risposto alle richieste di The Register. La situazione è in evoluzione, e continueremo a fornire aggiornamenti man mano che emergono ulteriori dettagli.
