LiteLLM में घुसा क्रेडेंशियल चोर: हफ्ते में 2.3 करोड़ बार डाउनलोड होने वाले AI टूल पर हमला

हमलावरों ने LiteLLM की रिलीज़ पाइपलाइन को अपहृत कर लिया। LiteLLM एक लोकप्रिय ओपन सोर्स टूल है जो ऐप्स और AI मॉडल प्रदाताओं के बीच अनुरोध भेजता है। बुधवार, 21 अक्टूबर को हमलावरों ने Python Package Index पर इसका दुर्भावनापूर्ण संस्करण प्रकाशित कर दिया। ज़हरीला संस्करण 1.107.0 LiteLLM की आधिकारिक Docker इमेजों के ज़रिए भी बाहर गया। Datadog Security Labs के अनुसार यह पैकेज हफ्ते में करीब 2.3 करोड़ बार डाउनलोड होता है, जो इसे AI विकास में सबसे ज़्यादा इस्तेमाल होने वाले बुनियादी टूलों में से एक बनाता है।

मालवेयर ने क्या किया

दुर्भावनापूर्ण संस्करण में तीन ऐसी फाइलें थीं जो असली परियोजना में हैं ही नहीं: cook.pth, cook.py और sitecustomize.py। इंस्टॉल होने के बाद ये फाइलें Python के उस फोल्डर में बैठ जाती थीं जिसे इंटरप्रेटर हर शुरुआत पर पढ़ता है, इसलिए यह कोड हर Python लॉन्च पर चलता था, उन प्रोग्रामों में भी जिन्होंने LiteLLM कभी इस्तेमाल नहीं किया। एक फाइल क्रेडेंशियल चोर चलाती थी, जो सुरक्षा फर्मों के अनुसार SSH और GPG कुंजियाँ, AWS, Microsoft Azure और Google Cloud के क्लाउड क्रेडेंशियल, Kubernetes और Docker सीक्रेट, ब्राउज़र पासवर्ड और कुकीज़, तथा LiteLLM प्रॉक्सी डेटाबेस में रखी AI प्रदाता कुंजियाँ खोजता था। दूसरा हिस्सा हर घंटे जागकर हमलावरों के नियंत्रण वाले सर्वर से नया कोड लाकर चलाता था, जिससे उन्हें संक्रमित मशीनों में स्थायी बैकडोर मिल जाता था।

हमलावर अंदर कैसे घुसे

LiteLLM का कहना है कि घुसपैठिए उसके तीन इंजीनियरों के GitHub खातों के ज़रिए आए, संभवतः चोरी हुए GitHub CLI OAuth टोकनों का इस्तेमाल करके। एक खाते से निजी रिलीज़ प्रक्रिया चलाई गई और दूसरे से उसे मंज़ूरी दी गई, और उस प्रक्रिया ने Berri-AI/litellm नाम की दुर्भावनापूर्ण प्रति से संस्करण बनाया, जो असली BerriAI/litellm से सिर्फ एक हाइफ़न अलग थी। कंपनी ने शामिल सभी टोकन रद्द कर दिए हैं और जाँच के दौरान अपने GitHub संगठन को एक अप्रभावित उपयोगकर्ता तक सीमित कर दिया है। LiteLLM के सुरक्षा निदेशक Oliver Jensen ने कहा कि टीम को अभी भी नहीं पता कि टोकन कैसे चोरी हुए।

दो घंटे खुला रहा

JFrog Security Research के अनुसार खराब संस्करण 11:39 UTC पर PyPI पर आया और 13:23 UTC पर हटा दिया गया, करीब दो घंटे की अवधि। Docker टैग v1.107.0, latest, main-latest और main-stable करीब 14:20 UTC तक ज़हरीली इमेजों की ओर इशारा करते रहे। Upwind, SafeDep, Socket और StepSecurity की टीमों ने उसी दिन विश्लेषण प्रकाशित किए। यह इस साल LiteLLM पर दूसरा ऐसा हमला है: मार्च में 1.82.7 और 1.82.8 संस्करणों को उस हमले में ज़हरीला बनाया गया था जिसे बाद में TeamPCP समूह से जोड़ा गया, हालाँकि शोधकर्ताओं का कहना है कि दोनों घटनाओं के बीच कोई संबंध स्थापित नहीं हुआ है।

उपयोगकर्ता क्या करें

जिसने भी संस्करण 1.107.0 इंस्टॉल किया है, उसे उस मशीन के हर क्रेडेंशियल को उजागर मानना चाहिए। सुरक्षा फर्में सलाह देती हैं कि साफ 1.106.2 संस्करण से दोबारा निर्माण करें, लगाई गई तीनों फाइलों को हाथ से मिटाएँ क्योंकि पैकेज हटाने पर भी वे बनी रहती हैं, और क्लाउड कुंजियाँ, SSH कुंजियाँ और AI सेवा टोकन बदल दें। सिर्फ पैकेज हटाना काफी नहीं है, क्योंकि लगाई गई फाइलें उसके बाहर रहती हैं और हर घंटे वाला लोडर रोके जाने तक चलता रहता है।

स्रोत

The Hacker News, Datadog Security Labs, TechCrunch और SafeDep की रिपोर्टें, नीचे लिंक की गई हैं।