LiteLLM sospecha que una filtración de tokens de GitHub en los registros de AI Gateway está detrás de la publicación de un paquete malicioso
LiteLLM reveló que actores maliciosos vulneraron múltiples controles de seguridad independientes para distribuir una versión maliciosa de su paquete en Python, la cual incluía un capturador de credenciales y una puerta trasera. El incidente afectó a los registros de Docker Hub y PyPI mediante la publicación de versiones comprometidas que recopilaban secretos del sistema, navegadores, herramientas de desarrollo y de inteligencia artificial, exfiltrando dichos datos a través de peticiones HTTP.
Para lograrlo, el atacante empleó un doble mecanismo utilizando archivos de ruta y scripts de configuración específicos para ciertos sistemas operativos que descargaban cargas útiles adicionales de manera periódica. Tras la exfiltración, se detectó el uso abusivo de las credenciales robadas para realizar validaciones y enumeraciones en entornos de nube, una actividad coincidente con tácticas de LLMjacking.
Los responsables del proyecto indicaron que el acceso se facilitó después de otorgar temporalmente permisos de publicación a ingenieros internos, permitiendo que un atacante utilizara credenciales de GitHub para desactivar protecciones y forzar cambios maliciosos. LiteLLM sospecha que los atacantes obtuvieron los tokens de autenticación a través de registros de una implementación interna expuesta a internet, donde se habrían filtrado credenciales de la interfaz de línea de comandos de GitHub.
El artículo original no aporta más detalle sobre cómo la implementación interna se volvió accesible al público ni sobre la identidad definitiva de los atacantes, aunque se recomienda a los desarrolladores eliminar la versión afectada, aislar los equipos, buscar los artefactos maliciosos y rotar todas las credenciales expuestas.