Детали атаки
21 октября 2026 года версия LiteLLM 1.107.0 подверглась атаке на цепочку поставок: в репозиторий пакетов Python (PyPI) и на официальные каналы контейнеров был загружен вредоносный пакет. Тревожной особенностью этой атаки является то, что для работы вредоносного ПО не требуется вызывать библиотеку LiteLLM в самом приложении — оно активируется автоматически сразу при запуске интерпретатора Python в среде, содержащей зараженный пакет.
Принцип работы и угрозы
Злоумышленники использовали файлы автозапуска Python (такие как cook.pth и sitecustomize.py) для выполнения вредоносного кода в фоновом режиме. Этот код собирает конфиденциальные учетные данные, в том числе:
- Ключи API провайдеров моделей искусственного интеллекта.
- Облачные учетные данные и токены доступа сред разработки (CI/CD).
- Данные браузеров и файлы cookie.
- Ключи SSH и GPG.
Собранные данные шифруются с использованием алгоритма AES-256-CBC перед отправкой на сервер, контролируемый злоумышленниками. Кроме того, зараженная версия содержит специальный «загрузчик» (Loader) для систем Unix, способный скачивать и выполнять дополнительный код Python удаленно, что дает злоумышленникам гибкость при обновлении своих инструментов без необходимости публикации нового пакета.
Почему эта новость важна?
Этот инцидент представляет серьезную опасность, поскольку LiteLLM используется в качестве промежуточного шлюза между приложениями и моделями искусственного интеллекта, обладая широкими правами доступа к инфраструктуре. Поскольку активация происходит при запуске Python, рабочие станции разработчиков, агенты непрерывной интеграции и доставки (CI/CD) и контейнеры подвергаются риску даже в том случае, если функции LiteLLM не задействуются напрямую.
Меры реагирования и восстановления
Корпорация Microsoft подчеркивает, что простое удаление пакета не гарантирует очистку среды. Организациям необходимо предпринять следующие шаги:
- Изоляция и расследование: Не запускать команды python или pip в подозрительных средах во избежание активации вредоносного кода, а также использовать внешние средства сканирования.
- Глубокая очистка: Убедиться в удалении файлов cook.pth, cook.py и sitecustomize.py из путей библиотек Python.
- Ротация учетных данных: Считать все учетные данные, которые были доступны в зараженной среде, скомпрометированными и немедленно выполнить ротацию ключей API, токенов доступа и паролей.
- Повышение безопасности: Использовать файлы блокировки (Lock files) с фиксацией по хэшу и опираться на дайджесты контейнеров вместо изменяемых тегов (Mutable tags).