Socketの調査とLiteLLMのその後の調査によると、攻撃者は10月21日のサプライチェーン攻撃の11日前に、LiteLLMのGitHub組織にアクセスし、認証情報を窃取するワークフローを実行していました。
今回の調査結果により、以前の認証情報の侵害と、PyPIやコンテナレジストリを通じて配布された悪意あるパッケージlitellm==1.107.0とのつながりが明らかになりました。Socketは、2026年10月10日と10月12日にBerriAI/litellm内で実行された悪意あるワークフローを回収しています。
どちらもコミットメッセージci: bump cache configが付いた通常のメンテナンス作業に見せかけていました。しかし実際には、CIのシークレットを収集して攻撃者管理下のコレクターへ送信することを目的に、.github/workflows/cache.ymlを新たに追加していました。
攻撃者は正規のコミットから一時的なブランチを作成し、悪意あるワークフローをプッシュしました。そしてGitHub Actionsに実行させた後、ブランチを削除しています。
ブランチci-tmp-a351ccとci-tmp-4d8517は、ワークフローをmainに置かないまま消えました。このため、通常のリポジトリレビューでは発見されにくくなっていました。
10月10日のワークフローには、6件のシークレットを狙うジョブが1つ含まれていました。対象はGH_TOKEN、GitHub Appの秘密鍵、LiteLLM・Linear・Together AIの認証情報などです。ワークフローは値を/tmp/c.envに書き出し、そのファイルを/tmp/c.b64にエンコードしたうえで、curlを使って内容をwebhook.siteにPOSTしていました。
末尾の|| trueが送信エラーを抑制するため、送信に失敗してもジョブは成功と報告されます。GitHub Actionsのメトリクスには、約4秒間の実行が1回成功したと記録されていました。ただし、このメトリクスだけでは、コレクターが認証情報を受信したかどうかは確認できません。
10月12日の亜種では収集範囲が6つのジョブに拡大し、うち5つは設定済みのGitHub環境に紐づいていました。
2つのワークフローを合わせると、攻撃者は20種類の異なるシークレット名を参照していました。対象にはOpenAI、Anthropic、AWS Bedrock、GitGuardian、PostgreSQL、Redis、Linearのブラウザセッション情報が含まれます。ブランチ削除後も残っていた環境デプロイの記録が、攻撃活動の裏付けに役立ちました。
その後LiteLLMは、最初の侵入経路を特定しました。5月27日に誤って公開コミットされ、失効されないままになっていたAgent Platformのマスターキーです。攻撃者は10月10日、このキーを使って組織オーナーの無制限のGitHub CLI OAuthトークンを取得しました。
このアクセスにより、さらなるシークレットの窃取が可能になりました。LiteLLMによると、監査ログのトークンハッシュから、BerriAI/litellmから盗まれたGH_TOKENが、悪意ある本番リリースの承認に使われたことが判明しています。別の盗まれたメンテナートークンは、リリースワークフローの記録を削除するために使われました。
10月21日、攻撃者はオーナー権限でブランチ保護を回避し、リリースパイプラインを紛らわしい名前のリポジトリBerri-AI/litellmへ向け直しました。パイプラインはその後、悪意あるPyPIホイール7件と侵害されたコンテナイメージに署名し、公開しています。
LiteLLMはレジストリをロックし、信頼できる1アカウントを除くGitHub組織のメンバーを削除しました。さらに、社内システムとベンダーをまたぐ認証情報の失効にも着手しています。
Socketは次のように注意を促しています。10月10日は裏付けられた最も早い活動であり、侵入の始まりとは限りません。ブランチの削除やワークフローの成功ステータスだけでは、侵害の全容と期間を完全には把握できません。
注記: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（例:[.]）しています。無害化を元に戻す場合は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンス基盤の中だけにしてください。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-breached-litellm-supply-chain-attack/
