Hoje, dia 22/10, veio a público que o LiteLLM, um pacote Python bastante usado por desenvolvedores para conectar aplicações a modelos de IA, foi comprometido. Segundo as empresas SafeDep, Socket, StepSecurity e Upwind, a versão 1.107.0 foi alterada por invasores e passou a carregar um malware. O caso foi divulgado em 21/10.

Pense no pacote como uma caixa de ferramentas que muita gente compra pronta. Nesse caso, alguém trocou o conteúdo de uma caixa específica por outra com um ladrão escondido dentro. A versão adulterada foi distribuída pelo PyPI, repositório oficial de pacotes Python, e também por imagens Docker. O pacote já foi colocado em quarentena no PyPI e as imagens maliciosas foram removidas.

Segundo o diretor de segurança do LiteLLM, Oliver Jensen, as ações maliciosas foram feitas por meio das contas do GitHub de três engenheiros, aparentemente com tokens OAuth da GitHub CLI roubados. O invasor usou a conta de um usuário para disparar o processo de publicação e a de outro para aprovar. Todos os tokens envolvidos foram revogados, e a empresa removeu da organização todos os usuários, exceto um que não foi afetado. A forma como os tokens foram obtidos ainda não foi descoberta, então a investigação continua.

O malware é capaz de coletar credenciais de nuvem, chaves privadas, dados do navegador (Chromium e Firefox), arquivos de autenticação de ferramentas de IA e variáveis de ambiente. Ele também pode tentar extrair as credenciais salvas e a configuração de modelos de implantações do LiteLLM. Os dados coletados são compactados e enviados para um endereço ligado ao LiteLLM, por meio de uma requisição HTTP POST. Além disso, o programa pode baixar e executar código adicional escolhido pelo atacante, buscando instruções em um repositório no GitHub que hoje retorna erro 404.

Quem baixou a versão 1.107.0 deve considerar todas as credenciais expostas como comprometidas: revogar e trocar as chaves em um ambiente limpo e fixar a versão 1.106.2 pelo digest. A fonte também relata que o mesmo comportamento foi visto em um ataque anterior à cadeia de suprimentos, ocorrido em março, atribuído ao grupo TeamPCP. Para outras orientações, siga as instruções oficiais do LiteLLM e mantenha os pacotes atualizados.