Details zum Angriff
Am 21. Oktober 2026 wurde die Version LiteLLM 1.107.0 Opfer eines Supply-Chain-Angriffs, bei dem ein Schadsoftware-Paket über das Python Package Repository (PyPI) und offizielle Container-Kanäle veröffentlicht wurde. Das Besorgniserregende an diesem Angriff ist, dass die Schadsoftware nicht erfordert, dass die LiteLLM-Bibliothek innerhalb der Anwendung aufgerufen wird, um zu funktionieren. Stattdessen wird sie automatisch aktiviert, sobald der Python-Interpreter in einer Umgebung gestartet wird, die das kompromittierte Paket enthält.
Funktionsweise und Bedrohungen
Die Angreifer nutzten Python-Startup-Dateien (wie cook.pth und sitecustomize.py), um bösartigen Code im Hintergrund auszuführen. Dieser Code sammelt sensible Anmeldedaten, einschließlich:
- API-Schlüssel von Anbietern von KI-Modellen.
- Cloud-Anmeldedaten und Zugriffstoken für Entwicklungsumgebungen (CI/CD).
- Browser-Daten und Cookies.
- SSH- und GPG-Schlüssel.
Die gesammelten Daten werden vor dem Senden an einen von den Angreifern kontrollierten Server mit dem Algorithmus AES-256-CBC verschlüsselt. Die kompromittierte Version enthält zudem einen speziellen „Loader“ für Unix-Systeme, der in der Lage ist, zusätzlichen Python-Code aus der Ferne abzurufen und auszuführen. Dies gibt den Angreifern die Flexibilität, ihre Tools zu aktualisieren, ohne ein neues Paket veröffentlichen zu müssen.
Warum diese Nachricht wichtig ist
Dieser Angriff stellt eine ernsthafte Gefahr dar, da LiteLLM als Vermittler zwischen Anwendungen und KI-Modellen dient, was bedeutet, dass das Tool über weitreichende Zugriffsrechte auf die Infrastruktur verfügt. Da die Aktivierung beim Start von Python erfolgt, sind Entwicklerarbeitsplätze, Continuous-Integration-Clients (CI/CD) und Container gleichermaßen gefährdet, selbst wenn die Funktionen von LiteLLM nicht direkt genutzt werden.
Reaktions- und Wiederherstellungsmaßnahmen
Microsoft betont, dass das bloße Löschen des Pakets nicht aus reicht, um die Umgebung zu bereinigen. Unternehmen müssen die folgenden Schritte unternehmen:
- Isolierung und Untersuchung: Kein Ausführen von python oder pip in verdächtigen Umgebungen, um die Aktivierung des Schadcodes zu vermeiden, und Einsatz externer Scan-Tools.
- Tiefenreinigung: Sicherstellen, dass die Dateien cook.pth, cook.py und sitecustomize.py aus den Python-Bibliothekspfaden entfernt werden.
- Rotieren von Anmeldedaten: Alle in der kompromittierten Umgebung verfügbaren Anmeldedaten als kompromittiert betrachten und sofort mit der Rotation von API-Schlüsseln, Zugriffstoken und Passwörtern beginnen.
- Erhöhung der Sicherheit: Verwendung von Lock-Dateien mit Hashes und Setzen auf Container-Digests anstelle von veränderlichen Tags (Mutable Tags).