攻撃者がPyPI上のLiteLLMバージョン1.107.0を侵害し、コンテナイメージも公開しました。AIプロバイダーのキー、クラウド認証情報、開発者のシークレットを盗み出すマルウェアが配布されています。
Socketは2026年10月21日、このサプライチェーン攻撃を公表しました。同社のスキャナーが、7つの悪意あるwheelを約7分で検出したということです。これらのパッケージは、Windows、Linux、macOSの各環境を標的にしています。
LiteLLMは、大規模言語モデル（LLM）プロバイダー向けの統一インターフェースとプロキシを提供するツールで、週間ダウンロード数は約2,300万に上ります。プロバイダーのキー、クラウドのID、データベース接続にアクセスできるため、侵害されたデプロイ環境は特に深刻な影響を受けます。
コンテナのビルド来歴（プロベナンス）には、正規のBerriAI/litellmリポジトリではなく、Berri-AI/litellmがソースとして記録されていました。ハイフンが1つ多い点で、ビルド入力に記録された偽リポジトリを見分けられます。
調査の結果、Maturinの設定とDockerfileの命令によってcookディレクトリを持ち込むパッケージング上の変更が見つかりました。参照されたリビジョン内の3つのスタートアップファイルは、調査対象のPyPI wheelとバイト単位で一致しています。
ただし、現時点の証拠からは、ソースの上書きがどのように承認されたのか、また同じワークフローがwheelを公開したのかどうかは確認できていません。
影響は、バージョンを明示してデプロイした環境にとどまりません。レジストリを確認したところ、v1.107.0、latest、main-latest、main-stableの各タグは、いずれも影響を受けた同一のイメージインデックスを指していました。
このwheelは、cook.pth、cook.py、sitecustomize.pyをPythonのライブラリディレクトリにインストールします。.pthファイルがimport cookを実行するため、アプリケーションがLiteLLMをインポートしなくても、通常のインタープリター起動時に情報収集モジュールが動き出します。
そのため、調査中にPythonやpipを実行すると、マルウェアが再び作動するおそれがあります。privcollectペイロードには16個の収集モジュールが含まれ、AWS、Azure、Google Cloud、Kubernetes、Docker、Gitの認証情報、SSHキー、環境変数、ブラウザーのデータベースを狙います。
さらに、Codex、Claude、Gemini、Cursorに関連する認証ファイルも探索します。DATABASE_URLが設定されたLiteLLMのデプロイ環境では、LiteLLM_CredentialsTableとLiteLLM_ProxyModelTableに対してデータベースクエリを試み、それぞれ最大500件のレコードを要求します。
マルウェアは収集した情報をAES-256-CBCで暗号化し、その暗号鍵をRSA-4096 OAEPで保護します。生成されたアーカイブはhxxp://www[.]litellm[.]dev/healthcheckにアップロードされます。
これとは別に、sitecustomize.pyは切り離されたローダーを起動し、GitHubのletters9813/pythonclient-testリポジトリからdomain.txtを取得します。
宛先が指定されると、署名検証なしで/codepyからPythonコードをダウンロードして実行させることが可能です。観測された空のポインターでは、独立した情報収集モジュールの動作を止めることはできませんでした。
Socketは、バージョン1.107.0のブロック、影響を受けたイメージのデプロイ停止、インストール後にPythonが実行された環境の隔離を推奨しています。
対応にあたる担当者は、証拠を保全し、信頼できるツールでシステムを調査したうえで、侵害のおそれがある認証情報をクリーンな環境からローテーションする必要があります。
LiteLLMを削除しただけでは、スタートアップファイルは残り、稼働中のローダーも停止しません。復旧では、検証済みの成果物から環境を再構築し、コンテナのダイジェストを固定したうえで、認証情報の不正使用を調査してください。
注：IPアドレスやドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（[.]など）しています。無害化を元に戻す場合は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-compromise-litellm-pypi-package/
