Зловмисники атакували оновлення LiteLLM, викравши конфіденційні дані

Автор ·

Хакери зламали систему оновлень LiteLLM, популярного інструмента для роботи з ШІ, і поширили через неї вірус, що викрадає паролі та інші конфіденційні дані. Розробники вважають, що доступ до системи міг бути отриманий через витік секретних ключів у відповіді ШІ-помічника Claude Code.

Деталі атаки

21 жовтня зловмисники використали викрадені ключі доступу до GitHub, щоб змінити налаштування системи оновлень LiteLLM. Вони перенаправили збір нової версії програми на своє власне сховище, яке відрізнялося від оригінального лише одним дефісом. В результаті з'явилася заражена версія LiteLLM 1.107.0, доступна для завантаження протягом приблизно двох годин.

Шкідлива програма також потрапила до образів Docker, які використовуються для запуску застосунків. Вірус запускався автоматично під час роботи Python, навіть якщо LiteLLM не використовувався.

Що викрадає вірус

Вірус шукав:

  • ключі доступу до AWS, Google Cloud, Azure та GitHub;
  • дані для підключення до ШІ-сервісів;
  • приватні ключі розробників;
  • збережені паролі, файли cookie та інформацію з браузерів.

Крім того, шкідлива програма могла завантажувати додатковий код із серверів зловмисників.

Рекомендації для користувачів

Розробники LiteLLM вже видалили заражені версії з доступу. Користувачам, які їх встановили, радять:

  1. ізолювати уражені системи;
  2. відновити їх із чистих копій;
  3. замінити всі ключі доступу, які могли потрапити до рук хакерів.

Наразі рекомендується повернутися до безпечної версії LiteLLM 1.106.2. Атака не зачепила клієнтів, які користуються корпоративною версією програми.

Нагадаємо, що в березні хакери вже поширювали заражену версію LiteLLM, яка також викрадала конфіденційні дані користувачів.

Джерело: dev.ua (https://dev.ua/news/litellm-zlamaly-1792758346)