نسخه 1.107.0 کتابخانه LiteLLM در یک حمله زنجیره تأمین (Supply Chain Attack) قرار گرفته است که از طریق بسته‌های PyPI و ایمیج‌های کانتینر (Container Images)، بدافزارهای سرقت اعتبارنامه (Credential-stealing malware) را توزیع می‌کند.
محققان گزارش داده‌اند که هوک‌های استارتاپ (Startup hooks) مخرب در پایتون می‌توانند حتی بدون فراخوانی مستقیم کتابخانه LiteLLM، فعال شوند. این امر باعث می‌شود اعتبارنامه‌های ابری (Cloud credentials)، اسرار توسعه‌دهندگان (Developer secrets) و فایل‌های احراز هویت هوش مصنوعی در معرض خطر قرار گیرند. این حمله سیستم‌عامل‌های macOS، Linux و Windows را تحت تأثیر قرار داده است.
با توجه به اینکه LiteLLM یک رابط و پروکسی رایج برای ارائه‌دهندگان مدل‌های زبانی بزرگ (LLM) است و حدود ۲۳ میلیون دانلود هفتگی دارد، این نسخه آلوده دسترسی به محیط‌های حساس تولید (Production) و توسعه را فراهم کرده است.
جزئیات فنی و نحوه عملکرد
بدافزار از طریق فایل‌هایی مانند cook.py، cook.pth و sitecustomize.py در دایرکتوری کتابخانه‌های پایتون نصب می‌شود. این هوک‌ها در هنگام مقداردهی اولیه مفسر (Interpreter initialization) فعال می‌گردند. در نتیجه، حتی اجرای دستورات ساده‌ای مانند pip در محیط آلوده می‌تواند باعث فعال‌سازی مجدد بدافزار شود.
پردازشگر (Payload) استخراج‌شده، ۱۶ ماژول جمع‌آوری داده را هدف قرار می‌دهد که شامل موارد زیر است:
- سرویس‌های ابری: AWS، Azure و Google Cloud
- زیرساخت: Kubernetes و کلیدهای SSH
- دیتابیس‌ها: اطلاعات ذخیره شده در مرورگرها و متغیرهای محیطی (Environment variables)
- دستیارهای هوش مصنوعی: Codex، Claude، Gemini و Cursor
داده‌های جمع‌آوری شده با استفاده از الگوریتم AES-256-CBC رمزنگاری شده و با استفاده از RSA-4096-OAEP بسته‌بندی می‌شوند. سپس این آرشیو به یک نقطه پایانی (Endpoint) جعلی با نام /healthcheck ارسال می‌گردد. همچنین یک لودر (Loader) جداگانه می‌تواند فایل‌های پایتون جدید را بدون بررسی امضا یا هش (Hash) از طریق GitHub دانلود و اجرا کند.
اقدامات پیشنهادی برای سازمان‌ها
سازمان‌ها باید بلافاصله نسخه مذکور را مسدود کرده و Digest ایمیج‌های خود را بازبینی کنند. همچنین توصیه می‌شود تمامی محیط‌هایی که پس از نصب این نسخه، پایتون در آن‌ها اجرا شده است، ایزوله شوند. از آنجایی که حذف صرف کتابخانه LiteLLM مانع از سرقت اطلاعات یا توقف لودر (Loader) موجود نمی‌شود، چرخش (Rotation) تمامی اعتبارنامه‌های احتمالی از یک سیستم پاک و امن الزامی است.
