حمله زنجیره تامین LiteLLM رمزهای عبور و اسرار را شناسایی می کند

جرایم ناشناخته روند انتشار LiteLLM را در روز چهارشنبه به خطر انداختند و یک نسخه مخرب (1.107.0) حاوی بدافزار طراحی شده برای سرقت اطلاعات ابری و هوش مصنوعی و یک تروجان دسترسی از راه دور (RAT) که قادر به اجرای کد دلخواه بر روی ماشین های آلوده از طریق ثبت PyPI و Docker بود را توزیع کرد.

PyPI نسخه تروجانیزه شده دروازه AI منبع باز محبوب را در عرض چند ساعت قرنطینه کرد و تصویر Docker (litellm/litellm:1.107.0) به زودی از Docker Hub و GHCR حذف شد - اما هرکسی که بسته به خطر افتاده را بر روی هر پلتفرمی اجرا کند باید تصور کند اسرار آنها به سرقت رفته است.

Ilyas Makari، شکارچی بدافزار Aikido Security توصیه کرد: "/tmp/.pc_once_* را بررسی کنید (در صورت وجود این فایل، exfil قبلا فعال شده است) و /tmp/remote_code_loader.lock (شیب C2 اجرا می شود یا در صورت وجود این فایل همچنان در حال اجرا است). "همین مورد در مورد هر کسی که تصویر رسمی Docker litellm/litellm:1.107.0 را اجرا کرده باشد، یا آن را از طریق جدیدترین، اصلی‌ترین، یا برچسب‌های اصلی پایدار کشیده است، صدق می‌کند."

جدیدترین نسخه ایمن نسخه 1.106.2 است.

در حالی که هنوز خیلی زود است که ابعاد این حمله زنجیره تامین LiteLLM را بگوییم - طبق گفته CloudSEK، یک مصالحه قبلی LiteLLM در ماه مارس به طور بالقوه بیش از 2500 سازمان و 434000 خط لوله CI/CD در سراسر جهان را در معرض دید قرار داد - مطمئن شوید که این اقدامات را جدی بگیرید و محیط‌ها را برای هر گونه شاخص سازش بررسی کنید.

آیکیدو، بخش امنیتی ابری گوگل ویز و سوکت ارائه‌دهنده امنیت زنجیره تامین، همگی دستورالعمل‌های گسترده‌ای برای شکار و کاهش تهدید برای کاربران و تیم‌های امنیتی LiteLLM منتشر کرده‌اند، بنابراین آمار خواندنی را به آن‌ها بدهید.

LiteLLM که توسط BerriAI توسعه یافته است، یک رابط مشترک برای ارائه دهندگان LLM از جمله OpenAI، Anthropic و Google Gemini فراهم می کند و حدود 23 میلیون بارگیری در هفته دریافت می کند. این بدان معناست که یک نصب به خطر افتاده می‌تواند در کنار کلیدهای API ارائه‌دهنده LLM، هویت‌های ابری و رشته‌های اتصال پایگاه داده اجرا شود - و هزاران اعتبار ارزشمند، اسرار و سایر داده‌های حساس را در معرض دید هر کسی که بسته مخرب را آپلود کرده است.

محققان Socket روز چهارشنبه گفتند: «تیم‌هایی که از 1.107.0 استفاده می‌کنند باید استقرار آن را متوقف کنند و محیط‌هایی را که پایتون پس از نصب اجرا می‌کرد، از جمله کانتینرهای پراکسی و رانرهای CI بررسی کنند».

نسخه مخرب در ساعت 11:39 UTC آپلود شد، و به گفته بچه های Wiz، بنجامین رید و رامی مک کارتی، بارگذاری بار از تعهدات مخرب انجام شده در github.com/Berri-AI/litellm، که یک نوع خط فاصله از سازمان قانونی BerriAI است، منشأ می گیرد.

اشرار از این مخزن برای تزریق سه فایل مخرب به خط لوله انتشار LiteLLM استفاده کردند. به گفته ماکاری، اینها شامل cook.pth است که باعث می شود فایل دوم، cook.py، به طور خودکار هر بار که پایتون در دستگاه فراخوانی می شود، بدون هیچ گونه اقدام اضافی کاربر اجرا شود.

در همین حال cook.py حاوی infostealer است و فایل سوم sitecustomize.py RAT است. پایتون همچنین RAT را هنگام راه‌اندازی مفسر اجرا می‌کند و این فایل یک شبح پس‌زمینه ایجاد می‌کند که هر ساعت زیرساخت مهاجم را برای اجرای دستورات جدید نظرسنجی می‌کند.

به گفته Read و McCarthy، این infostealer پس از اجرا، حجم زیادی از داده‌های حساس را از 16 ماژول جمع‌آوری می‌کند که مرورگرها، ارائه‌دهندگان ابری و خدمات هوش مصنوعی را هدف قرار می‌دهند.

اعتبارنامه مرورگر و کوکی‌ها را از کروم، فایرفاکس، اج و سافاری به همراه اعتبارنامه‌های AWS از ~/.aws/، متغیرهای محیطی و ابرداده‌های نمونه EC2/ECS (IMDS) می‌دزدد. همچنین کلیدهای حساب سرویس Google Cloud Platform و اعتبار پیش فرض برنامه را به همراه توکن های Microsoft Azure از کش CLI جمع آوری می کند.

و سپس کلیدهای API را برای OpenAI، Anthropic، Cohere، و سایر ارائه دهندگان LLM، به علاوه کلیدهای خصوصی SSH، کلیدهای GPG و فایل‌های تاریخچه پوسته را تند کشیدند.

سپس بدافزار تمام این داده‌های دزدیده شده را با استفاده از AES-256-CBC رمزگذاری می‌کند، کلید رمزگذاری را با یک کلید عمومی RSA-4096 می‌پیچد و داده‌های رمزگذاری‌شده را از طریق HTTP POST به یک دامنه تحت کنترل مهاجم ارسال می‌کند: http://www[.]litellm[.]dev/healthcheck.

BerriAI به سوالات The Register پاسخ نداد. این یک داستان در حال ظهور است، و ما همچنان به به روز رسانی آن را با یادگیری جزئیات بیشتر ادامه خواهیم داد.®