Zainfekowany LiteLLM 1.107.0 na PyPI kradnie poświadczenia przy samym starcie Pythona

21 października 2026 na PyPI trafiło zainfekowane wydanie LiteLLM 1.107.0, rozprowadzane także przez oficjalne obrazy kontenerów. Złośliwy kod uruchamia się przy starcie interpretera Pythona, więc aplikacja nie musi nawet importować LiteLLM. Microsoft opisał dwie ścieżki działania: kolektor poświadczeń uruchamiany przez rozszerzenie ścieżki oraz loader dla systemów Unix utrwalany w konfiguracji site. Kolektor zbiera dane logowania z narzędzi programistycznych, aplikacji AI, środowisk chmurowych, przeglądarek i infrastruktury. W jednym przypadku na Windows kolektor uruchomiło zwykłe wywołanie Pythona instalujące niezwiązaną zależność.

Kogo dotyczy

Firmy, które zainstalowały LiteLLM 1.107.0 z PyPI albo z oficjalnych obrazów kontenerów. LiteLLM działa zwykle jako bramka między aplikacjami a dostawcami modeli, więc może mieć dostęp do kluczy API dostawców, danych połączenia z bazą, tożsamości usług i konfiguracji routingu.

Co zrobić

Nie uruchamiaj Pythona ani pip w podejrzanym środowisku, żeby sprawdzić obecność paczki. Według Microsoftu samo usunięcie paczki lub tagu wydania nie wystarcza: trzeba oczyścić środowisko Pythona, zakończyć pozostałe procesy i wymienić poświadczenia dostępne dla przejętej tożsamości.