LiteLLM release pipeline hacked to distribute info-stealer malware
Mis à jour :
Compromission de la chaîne d’approvisionnement LiteLLM : Déploiement de malwares info-stealers
Le projet open-source LiteLLM a été victime d’une attaque sur sa chaîne de publication le 21 octobre 2026, entraînant la diffusion de versions malveillantes (v1.107.0) sur PyPI, Docker Hub et GitHub Container Registry (GHCR). Le code source de l’application est resté intact, mais les paquets d’installation ont été modifiés pour y injecter un logiciel espion capable de dérober des identifiants et des secrets. Aucune CVE n’a été associée à cet incident à ce jour.
Points clés :
- Portée : L’attaque a duré environ deux heures, compromettant les “wheels” PyPI et plusieurs images Docker/GHCR (notamment
litellm,litellm-databaseetlitellm-non_root). - Mécanisme d’infection : L’attaquant a inséré trois fichiers malveillants (
cook.pth,cook.pyetsitecustomize.py) dans le répertoire de la bibliothèque Python. Ces fichiers s’exécutent automatiquement lors du lancement de tout processus Python, même pour une simple vérification. - Objectifs du malware : Collecte massive d’informations sensibles (clés API, identifiants Cloud/AWS/Azure, secrets Git/CI/CD, clés SSH, données de navigation et variables d’environnement). Les données volées sont chiffrées et exfiltrées via une requête vers
litellm[.]dev/healthcheck. - Persistance : Un chargeur distant télécharge régulièrement du code malveillant supplémentaire depuis un serveur externe, rendant une simple suppression du paquet insuffisante.
Recommandations :
- Arrêt immédiat : Suspendre tous les déploiements utilisant la version 1.107.0 de LiteLLM.
- Récupération : Revenir à la version 1.106.2, considérée comme la dernière version saine.
- Assainissement : Ne pas lancer l’interpréteur Python sur les systèmes infectés pour inspecter les fichiers. Il est impératif d’isoler les machines touchées et de les reconstruire à partir de sauvegardes propres.
- Rotation des secrets : Considérer comme compromis tous les secrets (clés cloud, jetons Git, clés SSH, etc.) ayant transité sur les environnements infectés et procéder à leur renouvellement immédiat.