LiteLLM nghi rò rỉ token GitHub sau khi phát hành gói độc hại
"LiteLLM experienced a supply chain attack where a malicious Python package (v1.107.0) was published to PyPI, Docker Hub, and GHCR. The compromised package contained credential-stealing malware and a backdoor, potentially exposing GitHub OAuth tokens logged in AI gateway logs. The attacker gained access through compromised developer credentials and exploited a misconfigured release pipeline."
Sự cố này cho thấy nguy cơ tấn công chuỗi cung ứng và rò rỉ thông tin đăng nhập nhạy cảm. Việc lộ token GitHub có thể cho phép kẻ tấn công truy cập trái phép vào các tài nguyên quan trọng.
Các doanh nghiệp sử dụng LiteLLM có thể phải đối mặt với gián đoạn dịch vụ, mất dữ liệu và thiệt hại uy tín do sự cố này. Việc kiểm tra và khắc phục lỗ hổng bảo mật có thể tốn kém.
LiteLLM xác nhận một cuộc tấn công chuỗi cung ứng, trong đó một gói Python độc hại (v1.107.0) được phát hành lên PyPI, Docker Hub và GHCR vào ngày 21 tháng 10 năm 2026. Gói này chứa phần mềm độc hại đánh cắp thông tin đăng nhập và backdoor, có khả năng lộ token OAuth của GitHub được ghi lại trong nhật ký gateway AI.
Kẻ tấn công đã có quyền truy cập thông qua thông tin đăng nhập của nhà phát triển bị xâm phạm và khai thác quy trình phát hành được cấu hình sai. Người dùng tải xuống phiên bản LiteLLM không được ghim giữa 11:39 AM và 1:23 PM UTC qua pip, hoặc sử dụng Docker image v1.107.0, latest, main-latest, hoặc main-stable giữa 11:46 AM và 2:20 PM UTC có thể bị ảnh hưởng.
Phiên bản độc hại này chứa code để thu thập thông tin đăng nhập và khóa, đồng thời chạy code tùy ý từ máy chủ từ xa mỗi giờ, biến nó thành một remote access trojan (RAT). Cụ thể, trình thông dịch Python xử lý file path ("cook.pth") để import "cook", một script Python ("cook.py") tự giải mã và chạy routine đánh cắp thông tin ("privcollect") để thu thập bí mật hệ thống, trình duyệt, nhà phát triển, cloud và AI. Dữ liệu sau đó được gửi đến "litellm[.]dev/healthcheck" bằng HTTP POST request.
Malware còn cố gắng thực thi "sitecustomize.py" (chỉ trên Linux và macOS), tải "domain.txt" từ một GitHub dead drop đã bị xóa ("github[.]com/letters9813"). Nếu file này trả về phản hồi hợp lệ, malware sẽ tải xuống và thực thi script Python thứ hai từ <domain>/codepy.
Wiz cho biết file text chỉ chứa các giá trị thử nghiệm ban đầu trước khi GitHub gỡ bỏ vào khoảng 1:30 PM UTC. Họ cũng ghi nhận việc sử dụng trái phép thông tin đăng nhập bị đánh cắp sau khoảng 4.5 giờ kể từ khi lấy được, với kẻ tấn công xác thực AWS instance role credentials từ các CI runners và Kubernetes nodes từ các địa chỉ IP sau:
- 168.100.8[.]57
- 165.227.201[.]8
Wiz nhận thấy kẻ tấn công sử dụng lệnh sts:GetCallerIdentity, bedrock:ListFoundationModels và ListModels, phù hợp với LLMjacking.
LiteLLM cho biết họ đã tăng cường quy trình phát hành sau một sự cố tương tự vào tháng 3. Các biện pháp bao gồm chuyển phát hành sang kho lưu trữ riêng, làm cho Docker release tags không thể thay đổi và ký Docker images. Tuy nhiên, sau khi mở rộng quyền phát hành tạm thời cho hai kỹ sư để phát hành bản sửa lỗi hàng ngày, kẻ tấn công đã lợi dụng quyền truy cập vào ba bộ thông tin đăng nhập GitHub CLI để đẩy phiên bản độc hại.
LiteLLM cũng phát hiện một tài khoản người dùng "không gây hại" trong môi trường LiteLLM của họ bị lộ ra internet. Họ nghi ngờ kẻ tấn công đã có được token OAuth của GitHub CLI từ nhật ký của tài khoản này và sử dụng chúng để xâm phạm quy trình phát hành. Nguyên nhân tài khoản này bị lộ và cách kẻ tấn công có được quyền truy cập vẫn chưa rõ ràng.
Câu hỏi thường gặp
Gói LiteLLM nào bị ảnh hưởng?
Phiên bản v1.107.0 của LiteLLM trên PyPI, Docker Hub và GHCR bị ảnh hưởng. Người dùng tải xuống hoặc sử dụng các phiên bản không được ghim trong khoảng thời gian cụ thể (11:39 AM - 2:20 PM UTC) có thể bị ảnh hưởng.
Kẻ tấn công đã làm gì sau khi xâm nhập?
Kẻ tấn công đã thu thập thông tin đăng nhập và khóa, sau đó sử dụng chúng để truy cập các tài nguyên AWS và Kubernetes. Họ đã thực hiện các lệnh liên quan đến LLMjacking, cho thấy mục tiêu có thể là khai thác các mô hình ngôn ngữ lớn.
LiteLLM đã làm gì để khắc phục?
LiteLLM đã tăng cường quy trình phát hành, chuyển sang kho lưu trữ riêng, làm cho Docker release tags không thể thay đổi và ký Docker images. Họ cũng đang điều tra nguyên nhân rò rỉ token GitHub.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc kiểm soát quyền truy cập chặt chẽ, đặc biệt là với các tài khoản có quyền phát hành. Các doanh nghiệp Việt Nam sử dụng LiteLLM nên kiểm tra nhật ký để tìm dấu hiệu token GitHub bị lộ. Điều đáng chú ý là kỹ thuật sử dụng file .pth để triển khai malware tương tự như vụ tấn công TeamPCP vào tháng 3, cho thấy một xu hướng tiềm ẩn cần theo dõi.