LiteLLM 1.107.0 trên PyPI bị xâm nhập, cài đặt trình đánh cắp thông tin xác thực và cửa hậu

Chuyện gì đã xảy ra

Phiên bản 1.107.0 của LiteLLM, một công cụ giúp lập trình viên gọi nhiều mô hình AI, đã bị cài mã độc. Khi ai đó cài gói này, hai tệp độc hại được đặt vào máy. Chúng chạy mỗi khi bất kỳ chương trình Python nào khởi động, kể cả khi chương trình đó không dùng LiteLLM. Mã gốc trên GitHub thì không có các tệp này. PyPI, nơi chia sẻ gói Python, đã gỡ phiên bản này lúc 13:23 UTC ngày 21/10/2026.

Con số và dữ kiện chính

• Có 7 gói cài đặt (wheel) cho Linux, macOS và Windows bị nhiễm.
• Các image Docker v1.107.0, latest, main-latest và main-stable cũng chứa mã độc, từ 11:46 đến 14:20 UTC.
• Các phiên bản 1.106.2, 1.107.0rc1 và 1.107.0rc2 là an toàn.
• Hai gói đi kèm là litellm-proxy-extras 0.4.110 và litellm-enterprise 0.1.78 vẫn sạch.

Mã độc làm gì

Tệp cook.pth gọi tệp cook.py, một chương trình đánh cắp thông tin. Nó thu thập khóa SSH, thông tin đăng nhập đám mây, bí mật CI/CD, token của công cụ AI, mật khẩu trình duyệt và khóa của nhà cung cấp AI. Dữ liệu được mã hóa rồi gửi tới www.litellm[.]dev. Tệp sitecustomize.py chạy nền mỗi giờ. Nó đọc một địa chỉ máy chủ từ một tệp trên GitHub, đánh cắp dữ liệu lần nữa, rồi tải và chạy thêm mã từ máy chủ đó.

Kẻ xấu đưa mã độc vào bằng cách nào

Trong tệp cấu hình pyproject.toml của bản nguồn 1.107.0 có thêm đúng một dòng: data = "cook". Dòng này khiến công cụ đóng gói sao chép thư mục cook vào gói cài đặt, dù thư mục đó không có trong bản nguồn. Kẻ xấu đã lấy được thông tin đăng nhp GitHub CLI của ba lập trình viên, có thể từ nhật ký của một hệ thống LiteLLM nội bộ bị lộ ra internet. Chúng dùng quyền chủ sở hữu tổ chức để vượt qua khóa nhánh, rồi chuyển quy trình phát hành sang một kho lookalike tên Berri-AI/litellm. Sau đó chúng qua được bước phê duyệt bằng tài khoản của một lập trình viên khác. Quy trình chính thức đã tự build, ký và phát hành gói.

Vì sao chuyện này quan trọng

Mã độc có thể lấy trộm khóa và mật khẩu quan trọng trên máy của bất kỳ ai cài gói này. Nó chạy ngay cả khi người dùng chỉ mở một chương trình Python bình thường, nên phạm vi ảnh hưởng rất rộng. Vụ việc cũng cho thấy kẻ xấu có thể lợi dụng cả quy trình phát hành chính thức, không chỉ mã nguồn. Người dùng nên kiểm tra máy có cài phiên bản 1.107.0 hay không và đổi các khóa, mật khẩu liên quan.