LiteLLM 1.107.0 saldırısı: PyPI ve Docker imajlarında kötücül yazılım

LiteLLM projesinin yayın hattı 21 Ekim'de ele geçirildi ve saldırgan 1.107.0 sürümünü PyPI ile Docker registry'ye yayınladı. Bu sürüm, kimlik bilgilerini, secret'ları ve ortam değişkenlerini çalan ve RCE araçları yükleyen derlenmiş kötücül yazılım içeriyordu. Saldırıdan tüm 1.107.0 .whl paketleri etkilendi; etki Windows, Linux ve macOS sistemlerini kapsadı.

Saldırı nasıl yayıldı?

Saldırgan LiteLLM uygulama koduna dokunmadı. Yalnızca kurulum paketini değiştirerek Python kitaplık dizinine cook.pth, cook.py ve sitecustomize.py adlı üç kötücül dosya yerleştirdi. Python normal başlangıçta .pth satırlarını çalıştırır ve sitecustomize modülünü içe aktarır. Bu yüzden yük, uygulama her başlamadan önce çalışır.

Kontrol amaçlı çalıştırmak da riskli

Araştırmacılar, yalnızca etkilenen kurulumu incelemek için Python veya pip çalıştırılmasının bile kötücül yükü tetiklediğini belirtti. Birden fazla uygulama güvenlik şirketi saldırıyı, 1.107.0'ın yayınlanmasından sonra 6 dakika içinde tespit etti.

Veriler nasıl çalınıyor?

Çalınan veriler AES-256-CBC ile şifrelenir. Şifreleme anahtarı RSA-4096 ile şifrelendikten sonra veriler litellm[.]dev/healthcheck adresine gönderiliyor. Ayrıca sitecustomize.py, ayrılmış bir yükleyici başlatıyor. Bu yükleyici her saat GitHub'da barındırılan bir işaretçiyi kontrol ediyor, dış bir sunucudan Python indiriyor ve bunu hedef makinede çalıştırıyor.

Kurtarma adımları

Kötücül paketler kaldırıldı. Yine de etkilenen dağıtımlar hemen durdurulmalı ve Python yorumlayıcısı başlatılmadan ortamlar incelenmelidir. Etkilenen sistemler izole edilmeli, temiz yedeklerden yeniden kurulmalı ve açığa çıkan tüm secret'lar hemen döndürülmelidir. Yalnızca LiteLLM paket dizinini silmek, arkasında başlangıç dosyaları veya etkin bir yükleyici bırakabilir. Projenin önerdiği temiz kurtarma sürümü, saldırıdan önceki son temiz sürüm olan 1.106.2'dir.

LiteLLM'in özel kurumsal sürümünü çalıştıran müşterilerin etkilenmediğini proje sorumlusu belirtti. Mart ayında da TeamPCP adlı saldırgan grubunun, CI/CD hattındaki Aqua Security Trivy açık tarayıcısını ele geçirerek kötücül LiteLLM sürümleri yayınladığı kaydedildi.