Hackearon el proyecto LiteLLM, publicando la versión maliciosa 1.107.0 en PyPI y Docker para robar credenciales, secretos y variables de entorno. El ataque afectó a usuarios de Windows, Linux y macOS, ejecutando malware antes del inicio de la aplicación para extraer datos sensibles y cargar código remoto. Se recomienda aislar los sistemas afectados, rotar todas las claves expuestas y volver a la versión segura 1.106.2.





Comprometieron el paquete PyPI del proyecto LiteLLM y publicaron imágenes de Docker maliciosas con una carga útil que roba credenciales, secretos y variables de entorno.

El ataque a la cadena de suministro afectó a todos los wheels de PyPI (paquetes de instalación .whl) para la versión 1.107.0 de LiteLLM, impactando sistemas Windows, Linux y macOS.

LiteLLM es un SDK de Python de código abierto (https://github.com/BerriAI/litellm) y una pasarela de IA que permite a las aplicaciones acceder a modelos de IA de diferentes proveedores a través de una API común.

Es un proyecto masivamente popular con 61.800 estrellas en GitHub, 92 millones de descargas mensuales en PyPI, y es utilizado por empresas de alto perfil como NVIDIA, Netflix, AT&T y Okta.

El proyecto afirma que el pipeline de lanzamiento fue comprometido (https://docs.litellm.ai/blog/security-incident-oct-21-2026?utm_source=chatgpt.com) el 21 de octubre y un actor de amenazas impulsó la versión 1.107.0 al registro de Docker y a PyPI.

"Esta versión contenía malware compilado que roba credenciales y carga herramientas de ejecución de código remoto", afirma el mantenedor, añadiendo que los clientes que ejecutan la versión empresarial privada no se vieron afectados.

En un análisis posterior al incidente, el mantenedor indica que los siguientes artefactos de LiteLLM se vieron afectados en el ataque:

* PyPI: litellm==1.107.0: las siete wheels, activas desde las 11:39:51 hasta las 13:23 UTC
* Docker Hub: v1.107.0, latest, main-latest y main-stable: apuntaban al índice de imagen comprometido sha256:1bbcb1443bc962e45f5aad53fe3d2c30600e0379715fb6c664cdd3ac126c339e desde las 11:46:56 hasta las 14:20 UTC
* GHCR: v1.107.0, latest, main-latest y main-stable: apuntaban a los índices de imágenes comprometidos a continuación desde las 11:46:56 UTC hasta que quedaron no disponibles a las 13:51 UTC
* * ghcr.io/berriai/litellm: sha256:1bbcb1443bc9…
* ghcr.io/berriai/litellm-database: sha256:c00f9d92c427…
* ghcr.io/berriai/litellm-non_root: sha256:7b00e91cd2fe…

Múltiples empresas de seguridad de aplicaciones detectaron el ataque a los seis minutos de la publicación de la versión maliciosa de LiteLLM y analizaron la carga útil.

Según los investigadores, el atacante no tocó el código de la aplicación LiteLLM y modificó únicamente el paquete de instalación para colocar tres archivos maliciosos (cook.pth, cook.py y sitecustomize.py) en el directorio de la librería de Python del entorno.

"Durante el inicio normal, Python procesa las líneas ejecutables .pth y luego intenta importar sitecustomize", explican los investigadores de Socket (https://socket.dev/blog/litellm-compromise#The-Collector-Reaches-Beyond-Provider-API-Keys).

Endor Labs señala (https://www.endorlabs.com/learn/litellm-1-107-0-compromised-python-startup-hooks-steal-cloud-ai-and-proxy-credentials) que de esta manera las cargas útiles se ejecutan antes que la aplicación cada vez que Python se inicia en el entorno. Ejecutar Python o pip para investigar una instalación afectada también activaba el malware.

El malware se dirigía a los siguientes datos:

• * Credenciales de nube y despliegue: AWS, Azure, Google Cloud, Kubernetes, Docker y secretos de gestión de infraestructura.
• * Credenciales y configuración de IA: Archivos de autenticación para herramientas de desarrollo de IA, además de las credenciales de proveedor y configuraciones de modelo almacenadas en LiteLLM.
• * Secretos de desarrollador y claves privadas: Credenciales de Git, GitHub, npm, PyPI y CI/CD; archivos .env; claves SSH, GPG y TLS.
• * Datos del navegador: Bases de datos de inicios de sesión guardados, cookies, autofill/pagos e historial de navegación.
• * Datos del host y tiempo de ejecución: Variables de entorno, historiales de shell y aplicación, e información del sistema y de red.

Los datos robados están cifrados mediante una clave AES-256-CBC que a su vez está cifrada con una clave RSA-4096 y luego se suben a ‘litellm[.]dev/healthcheck’

Uno de los archivos maliciosos, sitecustomize.py, lanza un cargador independiente que verifica un puntero alojado en GitHub cada hora y descarga Python desde un servidor externo para su ejecución en el host.

Los paquetes maliciosos han sido eliminados, pero los usuarios potencialmente afectados deben detener los despliegues afectados e inspeccionar los entornos sin iniciar el intérprete de Python.

Los sistemas infectados deben ser aislados y reconstruidos a partir de copias de seguridad limpias, y todos los secretos expuestos deben ser rotados inmediatamente.

Eliminar únicamente el directorio del paquete LiteLLM puede dejar archivos de inicio o un cargador activo.

Actualmente, la versión de recuperación recomendada es LiteLLM 1.106.2, que es el último lanzamiento limpio antes del ataque.

Anteriormente, el proyecto también sufrió una brecha en marzo, cuando el grupo de hacking TeamPCP publicó versiones maliciosas de LiteLLM en PyPI tras vulnerar el escáner de vulnerabilidades Trivy de Aqua Security utilizado en el pipeline de CI/CD de LiteLLM.

Fuente:
BleepingComputer