セキュリティ
さらにRATも仕込まれていました。今すぐ脅威ハンティングを
正体不明の攻撃者が水曜日、LiteLLMのリリースプロセスを侵害し、悪意あるバージョン(1.107.0)を配布しました。このバージョンには、クラウドやAIの認証情報を盗むマルウェアと、感染マシン上で任意のコードを実行できるリモートアクセス型トロイの木馬(RAT)が含まれており、PyPIとDockerレジストリを通じて拡散しました。
PyPIは、人気のオープンソースAIゲートウェイであるLiteLLMのトロイの木馬化されたバージョンを数時間以内に隔離しました。Dockerイメージ(litellm/litellm:1.107.0)も、その後まもなくDocker HubとGHCRの両方から削除されています。ただし、侵害されたパッケージをいずれかのプラットフォームで実行した場合は、機密情報が盗まれたものとみなす必要があります。
Aikido Securityのマルウェアハンターであるイリヤス・マカリ氏は、次のように注意を呼びかけています。「/tmp/.pc_once_*(このファイルがあれば、情報の外部送信はすでに実行済みです)と/tmp/remote_code_loader.lock(このファイルがあれば、C2デーモンが実行されたか、現在も実行中です)を確認してください。公式Dockerイメージlitellm/litellm:1.107.0を実行した場合や、latest、main-latest、main-stableの各タグ経由で取得した場合も同様です」
直近の安全なバージョンはv1.106.2です。
今回のLiteLLMサプライチェーン攻撃の規模を見極めるには、まだ早すぎます。3月に発生した以前のLiteLLM侵害では、CloudSEKによると、世界で2,500を超える組織が危険にさらされた可能性があり、434,000件のCI/CDパイプラインが影響を受けたとされています。今回も深刻に受け止め、環境内に侵害の痕跡(IoC)がないか確認してください。
Aikido、Googleのクラウドセキュリティ部門であるWiz、サプライチェーンセキュリティ企業のSocketはいずれも、LiteLLMのユーザーやセキュリティチーム向けに、詳細な脅威ハンティングと緩和策の手順を公開しています。至急ご確認ください。
BerriAIが開発するLiteLLMは、OpenAI、Anthropic、Google GeminiなどのLLMプロバイダーに共通のインターフェースを提供するツールで、週間ダウンロード数は約2,300万に上ります。そのため、侵害されたインストール環境では、LLMプロバイダーのAPIキー、クラウドのID情報、データベース接続文字列などが同居していることになります。悪意あるパッケージをアップロードした攻撃者に、価値の高い認証情報や機密情報、その他の機微なデータが漏れる恐れがあります。
Socketの研究者は水曜日、「1.107.0を使用しているチームは、デプロイを中止し、インストール後にPythonが実行された環境を調査すべきです。プロキシコンテナやCIランナーも対象です」と述べました。
悪意あるバージョンは11:39 UTCにアップロードされました。Wizのベンジャミン・リード氏とラミ・マッカーシー氏によると、ペイロードの出どころはgithub.com/Berri-AI/litellmに対する不正なコミットです。このリポジトリは、正規のBerriAI組織にハイフンを加えた類似名でした。
攻撃者はこのリポジトリを使い、LiteLLMのリリースパイプラインに3つの悪意あるファイルを注入しました。マカリ氏によると、1つ目はcook.pthで、マシン上でPythonが起動されるたびに、ユーザーが何も操作しなくても2つ目のファイルcook.pyが自動的に実行されます。
一方、cook.pyにはインフォスティーラーが含まれています。3つ目のsitecustomize.pyがRATです。このRATもPythonインタプリタの起動時に実行され、バックグラウンドでデーモンを立ち上げます。デーモンは1時間ごとに攻撃者のインフラへ接続し、実行すべき新しいコマンドを取得します。
リード氏とマッカーシー氏によると、インフォスティーラーは実行されると、ブラウザ、クラウドプロバイダー、AIサービスを標的とする16のモジュールを使って、大量の機密データを収集します。
Chrome、Firefox、Edge、Safariからは認証情報とCookieを盗みます。さらに、~/.aws/にあるAWSの認証情報、環境変数、EC2/ECSインスタンスメタデータ(IMDS)も標的です。Google Cloud Platformのサービスアカウントキーやアプリケーションのデフォルト認証情報、CLIキャッシュにあるMicrosoft Azureのトークンも収集します。
加えて、OpenAI、Anthropic、CohereなどのLLMプロバイダーのAPIキー、SSH秘密鍵、GPG鍵、シェルの履歴ファイルも盗み出します。
マルウェアは、盗んだデータをすべてAES-256-CBCで暗号化し、その暗号鍵をRSA-4096公開鍵でラップします。暗号化したデータは、攻撃者が管理するドメインhttp://www[.]litellm[.]dev/healthcheckにHTTP POSTで送信します。
BerriAIはThe Registerの問い合わせに回答していません。本件は現在も状況が動いており、詳細が判明次第、続報をお伝えします。®
