Представители проекта LiteLLM подтвердили факт успешной атаки на цепочку поставок, в ходе которой злоумышленники скомпрометировали инфраструктуру выпуска релизов. В результате на платформы PyPI, Docker Hub и GHCR были распространены вредоносные версии пакета 1.107.0, содержащие инфостилер и бэкдор. Малварь не изменяла исходный код самого SDK, а внедрялась в установочные файлы формата wheel (.whl) для Windows, Linux и macOS. В пакеты были добавлены файлы cook.pth, cook.py и sitecustomize.py, которые позволяли запускать вредоносный код еще до импорта библиотеки при старте интерпретатора Python. Инфостилер privcollect похищал учетные данные AWS, Azure и Google Cloud, секреты Kubernetes и Docker, токены GitHub, SSH- и TLS-ключи, а также данные из браузеров и переменные окружения, передавая их на сервер litellm[.]dev/healthcheck. Отдельный модуль обеспечивал удаленное выполнение скриптов, скачивая их из репозитория letters9813/pythonclient-test на GitHub по адресу, указанному в файле domain.txt.
Расследование показало, что хакеры использовали OAuth-токены GitHub CLI трех инженеров LiteLLM, включая владельца организации с повышенными правами. Доступ к токенам был получен после утечки мастер-ключа внутренней платформы LiteLLM Agent Platform, которая произошла 27 мая 2026 года. Хотя историю ветки скомпрометированного репозитория переписали, сам ключ остался активным. 10 октября 2026 года злоумышленники использовали этот ключ для получения OAuth-токена владельца организации, что позволило им создать вредоносные рабочие процессы GitHub Actions. Эти процессы не только опубликовали зараженные пакеты, но и отправили CI-секреты на подконтрольный сервер, в результате чего атакующие получили доступ к учетным данным еще двух мейнтейнеров проекта.
Специалисты компании Wiz отмечают, что примерно через 4,5 часа после кражи данных злоумышленники начали использовать похищенные учетные данные AWS для энумерации IAM-ресурсов, что характерно для тактики LLMjacking. В настоящее время все вредоносные релизы удалены с платформ. Разработчики рекомендуют всем пользователям изолировать затронутые системы, полностью пересобрать их из чистых образов и сменить все секреты. Безопасной версией библиотеки на данный момент считается LiteLLM 1.106.2. Зараженная версия была доступна в PyPI с 14:39 до 16:23, в Docker Hub — с 14:46 до 17:20, а в GHCR — с 14:47 до 16:51 по московскому времени.
