21 октября злоумышленник внедрил вредоносный код в релиз LiteLLM 1.107.0 — шлюза, через который приложения обращаются к разным языковым моделям. Заражёнными оказались все семь готовых пакетов для Python в PyPI и официальные образы Docker. При этом исходный код, отмеченный версией 1.107.0 на GitHub, оставался чистым: для выпуска использовали другой репозиторий. Это подтвердили исследователи StepSecurity, сопоставив содержимое пакетов и сведения об их сборке.

В предварительном разборе LiteLLM, обновлённом вечером 21 октября, разработчики описали захват трёх наборов учётных данных GitHub. Один принадлежал владельцу организации и позволил отключить защиту ветки. После этого атакующий изменил процесс выпуска: тот взял код из похожего по названию Berri-AI/litellm вместо настоящего BerriAI/litellm. Штатная инфраструктура сама собрала, подписала и опубликовала заражённый выпуск. Как был получен первоначальный доступ к внутренней системе компании, ещё устанавливают.

Для запуска вредоносного кода не требовалось обращаться к самому LiteLLM: достаточно было запустить Python в среде с установленным заражённым пакетом. Aikido обнаружила два компонента: похититель секретов собирал доступные ему пароли, ключи SSH, облачные учётные данные и ключи провайдеров из базы LiteLLM; фоновый загрузчик каждый час обращался к инфраструктуре атакующего за новым кодом. Поэтому риск распространялся на другие сервисы, чьи ключи находились в той же среде.

По данным разработчиков, пакеты в PyPI были доступны 21 октября с 11:39 до 13:23 UTC; заражённые образы в Docker Hub — с 11:46 до 14:20 UTC. Их удалили либо заменили на проверенные. Закрытый корпоративный канал поставки, по заявлению LiteLLM, не пострадал. Число заражённых установок и объём действительно похищенных данных в опубликованных разборах не названы.

Удаление релиза из каталогов не устраняет последствия на уже заражённых машинах. Разработчики рекомендуют пересоздать затронутые среды и сменить доступные им ключи. Случай показывает конкретный предел проверки исходников: чистый код релиза на GitHub не гарантирует чистоту готового пакета, если злоумышленник получил контроль над его сборкой.