Wiz 披露 LiteLLM PyPI 包供应链攻击，恶意版本 v1.107.0 窃取凭据

LiteLLM 遭入侵

10 月 21 日 11:39 UTC，LiteLLM 包的恶意版本（1.107.0）被上传至 PyPI。该版本已于 1:20 UTC 在 PyPI 上被隔离。

GHCR 和 Docker Hub 上的 LiteLLM Docker 容器也包含了被植入木马的 LiteLLM 版本。这些包括 v1.107.0、latest、main-latest 和 main-stable 标签。它们已于约 13:53 UTC 被移除。

最新的安全版本是 v1.106.2。

安装恶意包时，三个文件会被直接解压到 site-packages 根目录：cook.pth、cook.py 和 sitecustomize.py。这些包被设计为在每次启动 Python 解释器时执行。

更新

• 14:05 UTC - 添加 IOC 表

• 14:15 UTC - 添加攻击提交详情

• 14:40 UTC - 添加凭据窃取器详情，注明 Docker 下架

载荷

Upon startup, the interpreter processes cook.pth, which includes a command to import cook, which loads cook.py. cook.py deobfuscates itself, runs a stealer routine and writes a maker to /tmp/.pc_once_72129118c59f5636c0bb (note this fails on Windows, as the /tmp/ path often does not exist). The stealer routine gathers system, browser, developer, cloud and AI tool secrets, encrypts them and exfiltrates to www.litellm.dev/healthcheck via a post request. This domain is attacker controlled, impersonating LiteLLM infrastructure.

Python 解释器还会尝试执行 sitecustomize.py——不过，它只会在 Linux 和 MacOS 机器上运行。该脚本会尝试从 GitHub 死信箱（letters9813/pythonclient-test/main/domain.txt)）获取 domain.txt。如果收到响应，它会尝试从 http://<domain>/codepy 下载第二阶段 Python 脚本并运行。截至分析时，domain.txt 文件从未被填充。该仓库已于 1:30 PM UTC 被下架。

凭据窃取器

嵌入的凭据窃取器内部名称为 privcollect，通过 16 个模块收集针对浏览器、云提供商和 AI 服务的敏感数据。它会提取：

• 来自 Chrome、Firefox、Edge 和 Safari 的浏览器凭据和 Cookie

• 来自 ~/.aws/、环境变量以及 EC2/ECS 实例元数据（IMDS）的 AWS 凭据

• GCP 服务账号密钥和应用默认凭据

• 来自 CLI 缓存的 Azure 令牌

在 AI 特定窃取方面，它针对存储在环境变量或配置文件中的 OpenAI、Anthropic、Cohere 及其他 LLM 提供商的 API 密钥。它还会收集 SSH 私钥、GPG 密钥和 shell 历史文件。

LiteLLM Proxy 将上游 API 密钥存储在 PostgreSQL 数据库中。窃取器会直接查询该数据库（SELECT * FROM "LiteLLM_CredentialsTable" LIMIT 500）以提取所有已配置的提供商凭据。

收集到的数据使用 AES-256-CBC 加密（密钥用 RSA-4096 封装），并通过 HTTP 外泄至 www.litellm[.]dev/healthcheck，使用硬编码的 X-Token 头和 Internet Explorer 7 用户代理字符串。

攻击者提交

该载荷源自对 github.com/Berri-AI/litellm 的恶意提交。注意，这是合法 BerriAI 组织的连字符变体。该仓库在 GitHub 上不可见，被用于将载荷注入发布流水线。

10 月 21 日 08:56 至 10:46 UTC 之间，攻击者使用作者邮箱 ckdi82fkoos@proton.me 推送了 10 次提交。前九次提交是在 GitHub.com 上创建的，因此带有 GitHub 的已验证签名。

前三次提交（在 2 分钟内）添加了持久化文件：cook.pth、cook.py 和 sitecustomize.py。另外四次提交将版本号提升至 1.107.0。

在 39 分钟的间隔后，两次提交完善了载荷，并向 pyproject.toml 添加了关键的 data = "cook" 指令，该指令指示构建工具将恶意软件打包进 wheel。

最后一次提交发生在 58 分钟后，使用了不同的邮箱（Berri-AI@users.noreply.github.com）且未签名（表明处于不同环境），向 Dockerfile 中添加了 COPY cook ./cook。

尽管 Berri-AI 仓库已不可用，但由于 Git 的 fork 对象共享机制，所有提交仍可通过父仓库访问。完整 diff 见：github.com/BerriAI/litellm/compare/a8113b0d...20535d8f

建议

Wiz 客户应查看我们的威胁情报中心公告：针对 LiteLLM 的供应链攻击。

入侵指标

受影响实例