Detalhes do ataque
Em 21 de outubro de 2026, a versão LiteLLM 1.107.0 sofreu um comprometimento na cadeia de suprimentos, com a publicação de um pacote malicioso através do repositório Python Package Index (PyPI) e dos canais oficiais de contêineres. O aspecto mais alarmante deste ataque é que o software malicioso não requer a chamada da biblioteca LiteLLM dentro da aplicação para funcionar; ele é ativado automaticamente assim que o interpretador Python é iniciado em um ambiente que contenha o pacote afetado.
Mecanismo de funcionamento e ameaças
Os invasores exploraram os arquivos de inicialização do Python (como cook.pth e sitecustomize.py) para executar código malicioso em segundo plano. Esse código coleta credenciais sensíveis, incluindo:
- Chaves de API (API Keys) de provedores de modelos de inteligência artificial.
- Credenciais de nuvem e tokens de acesso de ambientes de desenvolvimento (CI/CD).
- Dados de navegadores e cookies.
- Chaves SSH e GPG.
Os dados coletados são criptografados usando o algoritmo AES-256-CBC antes de serem enviados para um servidor controlado pelos invasores. A versão comprometida também contém um "carregador" (Loader) personalizado para sistemas Unix, capaz de buscar e executar código Python adicional remotamente, dando aos invasores flexibilidade para atualizar suas ferramentas sem precisar publicar um novo pacote.
Por que esta notícia importa?
Esta violação representa um risco grave porque o LiteLLM é usado como um gateway intermediário entre aplicações e modelos de inteligência artificial, o que significa que ele possui amplos privilégios de acesso à infraestrutura. Como a ativação ocorre na inicialização do Python, as estações de trabalho de desenvolvedores, agentes de integração contínua (CI/CD) e contêineres estão todos em risco, mesmo que as funções do LiteLLM não sejam utilizadas diretamente.
Ações de resposta e recuperação
A Microsoft enfatiza que simplesmente desinstalar o pacote não é suficiente para limpar o ambiente. As organizações devem tomar as seguintes medidas:
- Isolamento e investigação: Evitar executar python ou pip dentro de ambientes suspeitos para evitar a ativação do código malicioso e utilizar ferramentas de verificação externas.
- Limpeza profunda: Garantir a remoção dos arquivos cook.pth, cook.py e sitecustomize.py dos caminhos de bibliotecas do Python.
- Rotação de credenciais: Considerar todas as credenciais que estavam acessíveis no ambiente comprometido como violadas e iniciar imediatamente a rotação de chaves de API, tokens de acesso e senhas.
- Aprimoramento de segurança: Utilizar arquivos de bloqueio (Lock files) fixados por Hash e depender de digests de contêineres em vez de tags mutáveis (Mutable tags).