Detalles del ataque
El 21 de octubre de 2026, la versión LiteLLM 1.107.0 sufrió un ataque a la cadena de suministro, en el cual se publicó un paquete de software malicioso a través del repositorio de paquetes de Python (PyPI) y los canales oficiales de contenedores. Lo alarmante de este ataque es que el software malicioso no requiere que se invoque la biblioteca LiteLLM dentro de la aplicación para funcionar, sino que se activa automáticamente tan pronto como se inicia el intérprete de Python en un entorno que contiene el paquete comprometido.
Mecanismo de funcionamiento y amenazas
Los atacantes aprovecharon los archivos de inicio de Python (como cook.pth y sitecustomize.py) para ejecutar código malicioso en segundo plano. Este código recopila credenciales sensibles, incluyendo:
- Claves de API de proveedores de modelos de inteligencia artificial.
- Credenciales de la nube y tokens de acceso de entornos de desarrollo (CI/CD).
- Datos del navegador y cookies.
- Claves SSH y GPG.
Los datos recopilados se cifran utilizando el algoritmo AES-256-CBC antes de ser enviados a un servidor controlado por los atacantes. Además, la versión comprometida contiene un "cargador" (Loader) personalizado para sistemas Unix, con la capacidad de recuperar y ejecutar código Python adicional de forma remota, lo que otorga a los atacantes flexibilidad para actualizar sus herramientas sin necesidad de publicar un nuevo paquete.
¿Por qué es importante esta noticia?
Esta brecha representa un riesgo grave porque LiteLLM se utiliza como puerta de enlace intermedia entre aplicaciones y modelos de inteligencia artificial, lo que significa que posee amplios privilegios de acceso a la infraestructura. Dado que la activación ocurre al iniciar Python, las estaciones de trabajo de los desarrolladores, los clientes de integración continua (CI/CD) y los contenedores están expuestos al peligro, incluso si las funciones de LiteLLM no se utilizan directamente.
Medidas de respuesta y recuperación
Microsoft subraya que la simple eliminación del paquete no es suficiente para limpiar el entorno. Las organizaciones deben seguir los siguientes pasos:
- Aislamiento e investigación: No ejecutar python o pip dentro de los entornos sospechosos para evitar activar el código malicioso, y utilizar herramientas de escaneo externas.
- Limpieza profunda: Asegurarse de eliminar los archivos cook.pth, cook.py y sitecustomize.py de las rutas de las bibliotecas de Python.
- Rotación de credenciales: Considerar comprometidas todas las credenciales que estaban disponibles en el entorno infectado, y proceder de inmediato a rotar las claves de API, los tokens de acceso y las contraseñas.
- Fortalecimiento de la seguridad: Utilizar archivos de bloqueo (Lock files) instalados con Hash y depender de los resúmenes de contenedores (Digests) en lugar de etiquetas mutables (Mutable tags).