La versión 1.107.0 de LiteLLM fue comprometida en PyPI el 21 de octubre de 2026, distribuyendo un robador de credenciales y un troyano de acceso remoto (RAT) a través de sus archivos wheel. Esta versión maliciosa también afectó a las imágenes de Docker, poniendo en riesgo sistemas de desarrolladores y servicios de IA. Aikido advirtió que quienes instalaron esta versión deben asumir que sus credenciales han sido comprometidas.

La versión 1.107.0 de LiteLLM fue comprometida en PyPI el 21 de octubre de 2026, propagando un robador de credenciales y un troyano de acceso remoto a través de los siete archivos wheel distribuidos. El lanzamiento malicioso también alcanzó las imágenes de Docker, poniendo en riesgo los sistemas de los desarrolladores, los ejecutores de compilación (build runners) y los servicios de IA.

Aikido advirtió que cualquier persona que haya instalado la versión afectada debe asumir que sus credenciales quedaron expuestas. PyPI eliminó la versión 1.107.0, pero retirar el paquete no elimina el malware ya instalado ni invalida los secretos que los atacantes puedan haber robado.

La investigación de Socket indicó que su escáner marcó los siete archivos wheel siete minutos después de su publicación. La velocidad de detección es crucial porque las actualizaciones automatizadas de dependencias pueden introducir un lanzamiento envenenado en múltiples entornos antes de que un humano revise el cambio del paquete.

Cómo funciona el malware de LiteLLM

El ataque utiliza ganchos de inicio (startup hooks) de Python en lugar de depender de que una aplicación importe LiteLLM. Según el análisis técnico de Wiz, la instalación coloca tres archivos, cook.pth, cook.py y sitecustomize.py, directamente dentro del directorio site-packages de Python.

Cuando Python se inicia, cook.pth importa cook.py, que decodifica su código oculto e inicia la rutina de robo de credenciales. Esto significa que un comando de Python no relacionado puede activar la carga útil después de la instalación, incluso cuando tú nunca abras LiteLLM directamente.

El robador busca información del sistema, datos del navegador, secretos de desarrollador, credenciales de la nube y archivos de autenticación utilizados por herramientas de IA. Los objetivos reportados incluyen claves privadas SSH, credenciales de AWS, Google Cloud y Azure, contraseñas del navegador y tokens para herramientas como Claude y GitHub Copilot.

La información recopilada se cifra y se envía mediante una solicitud HTTP POST a www[.]litellm[.]dev/healthcheck. Wiz identifica el destino como controlado por el atacante y diseñado para parecerse a la infraestructura de LiteLLM. El robador también escribe un marcador en /tmp/.pc_once_72129118c59f5636c0bb, aunque esa ruta puede fallar en Windows.

Un archivo de inicio independiente, sitecustomize.py, proporciona la ruta de carga de código remoto en Linux y macOS. Intenta recuperar domain.txt del repositorio de GitHub letters9813/pythonclient-test, y luego usa la dirección devuelta para descargar y ejecutar otro script de Python desde un endpoint /codepy.

Esto otorga a los atacantes una vía para ejecutar código adicional cuando los entornos de Python afectados se inicien de nuevo. Sin embargo, la capacidad no debe confundirse con una actividad confirmada. Wiz informó que domain.txt no había sido poblado durante su análisis y que el repositorio fue posteriormente retirado.

Si usas contenedores, también necesitas investigar. Wiz identificó imágenes de LiteLLM afectadas en GitHub Container Registry y Docker Hub, incluyendo v1.107.0, latest, main-latest y main-stable. Por lo tanto, una etiqueta de imagen familiar no garantiza que un despliegue esté limpio.

La discusión pública del incidente también señala registros de compilación que mencionan Berri-AI/litellm, un repositorio imitador que difiere del proyecto legítimo BerriAI/litellm por un solo guion. Ese hallazgo plantea dudas sobre la validación de la fuente del lanzamiento, pero no establece la ruta completa de la intrusión ni la identidad del atacante.

Los equipos que instalaron LiteLLM 1.107.0 deben aislar los hosts y ejecutores afectados, preservar los registros relevantes y tratar los secretos accesibles como potencialmente robados. Las investigaciones deben cubrir los registros de instalación de paquetes, los despliegues de contenedores, los archivos de inicio de Python y las conexiones salientes al endpoint de recolección reportado.

Rota y revoca las claves de la nube expuestas, las claves SSH, las sesiones del navegador, los tokens de repositorio y las credenciales de servicios de IA desde un sistema limpio. Reemplazar solo el paquete de LiteLLM no es suficiente cuando las credenciales robadas aún pueden proporcionar acceso en otros lugares.

Wiz identificó la versión 1.106.2 como la versión segura más reciente en su informe. Reconstruye los entornos afectados desde fuentes confiables y fija los despliegues de contenedores a resúmenes (digests) de imágenes verificados en lugar de confiar en etiquetas móviles. Revisa los registros de la nube y del control de fuentes en busca de accesos inesperados después de la instalación.

Este es el segundo compromiso de la cadena de suministro de LiteLLM reportado este año. Anteriormente se cubrió el ataque a la cadena de suministro de LiteLLM que involucró las versiones 1.82.7 y 1.82.8 y la investigación posterior sobre claves de la nube y secretos de CI/CD expuestos.

Esos hallazgos anteriores no prueban que los mismos atacantes causaran este incidente. Muestran por qué una breve exposición del paquete puede crear un problema de seguridad mucho más prolongado. Eliminar un lanzamiento malicioso limita las nuevas descargas, mientras que la recuperación sigue dependiendo de encontrar los sistemas afectados, eliminar las puertas traseras de inicio y cortar el acceso robado.