Tấn công chuỗi cung ứng LiteLLM đánh cắp mật khẩu và bí mật
"A supply chain attack compromised LiteLLM (version 1.107.0) via PyPI and Docker registries, injecting malware designed to steal cloud and AI credentials, and a remote access trojan (RAT). The malicious package was quickly quarantined, but users are advised to check for indicators of compromise. The most recent safe version is v1.106.2."
Cuộc tấn công chuỗi cung ứng này cho thấy mã độc có thể xâm nhập vào hệ thống thông qua các thư viện phổ biến, gây ra rủi ro đánh cắp thông tin đăng nhập.
Các doanh nghiệp sử dụng LiteLLM có thể bị lộ API key và thông tin cloud, dẫn đến thiệt hại tài chính và uy tín. Việc khắc phục sự cố có thể tốn kém và mất thời gian.
LiteLLM phiên bản 1.107.0 bị tấn công chuỗi cung ứng qua PyPI và Docker, cài cắm mã độc đánh cắp thông tin đăng nhập cloud và AI, cùng với một Trojan truy cập từ xa (RAT). PyPI đã cách ly phiên bản độc hại này, Docker Hub và GHCR cũng gỡ bỏ ảnh (litellm/litellm:1.107.0). Tuy nhiên, bất kỳ ai đã chạy gói bị xâm nhập trên mọi nền tảng nên coi như bí mật của họ đã bị đánh cắp.
Aikido Security khuyên kiểm tra các file /tmp/.pc_once_* (nếu tồn tại nghĩa là dữ liệu đã bị đánh cắp) và /tmp/remote_code_loader.lock (nếu tồn tại nghĩa là C2 daemon đang chạy). Điều này áp dụng cho cả những ai đã chạy Docker image litellm/litellm:1.107.0 hoặc các tag latest, main-latest, main-stable.
Phiên bản an toàn mới nhất là v1.106.2. Một cuộc tấn công tương tự vào LiteLLM hồi tháng 3 có thể đã ảnh hưởng đến hơn 2.500 tổ chức và 434.000 CI/CD pipelines (theo CloudSEK). Các công ty như Aikido, Wiz và Socket đã công bố hướng dẫn chi tiết để phát hiện và khắc phục.
LiteLLM, do BerriAI phát triển, cung cấp giao diện chung cho các nhà cung cấp LLM như OpenAI, Anthropic và Google Gemini, với khoảng 23 triệu lượt tải xuống hàng tuần. Mã độc có thể truy cập API key, thông tin cloud và chuỗi kết nối database. Socket khuyến nghị dừng triển khai 1.107.0 và kiểm tra các môi trường Python đã chạy sau khi cài đặt.
Mã độc sử dụng các file cook.pth, cook.py và sitecustomize.py để tự động chạy và thu thập dữ liệu từ trình duyệt (Chrome, Firefox, Edge, Safari), AWS, GCP, Azure, và các API key LLM. Dữ liệu sau đó được mã hóa và gửi đến http://litellm[.]dev/healthcheck.
BerriAI chưa phản hồi yêu cầu bình luận.
Câu hỏi thường gặp
Phiên bản LiteLLM nào bị ảnh hưởng?
Phiên bản 1.107.0 của LiteLLM bị ảnh hưởng bởi cuộc tấn công chuỗi cung ứng. Các phiên bản trước đó và sau đó (ví dụ: 1.106.2) được coi là an toàn hơn.
Mã độc làm gì?
Mã độc được thiết kế để đánh cắp thông tin đăng nhập cloud và AI, bao gồm API key, thông tin AWS, GCP, Azure và các thông tin nhạy cảm khác từ trình duyệt.
Làm thế nào để kiểm tra xem hệ thống có bị ảnh hưởng không?
Kiểm tra sự tồn tại của các file /tmp/.pc_once_* và /tmp/remote_code_loader.lock. Nếu có, có khả năng dữ liệu đã bị đánh cắp hoặc C2 daemon đang chạy.
Góc nhìn của Orange Cloud
Theo chúng tôi, cuộc tấn công này cho thấy tầm quan trọng của việc kiểm soát chuỗi cung ứng phần mềm, đặc biệt với các thư viện AI đang phổ biến. Các doanh nghiệp Việt Nam sử dụng LiteLLM nên cập nhật lên phiên bản 1.106.2 ngay lập tức và kiểm tra hệ thống để phát hiện dấu hiệu xâm nhập. Điều đáng chú ý là các công cụ bảo mật cloud có thể giúp tự động phát hiện các hoạt động đáng ngờ liên quan đến việc đánh cắp thông tin đăng nhập.