Die Hackergruppe TeamPCP demonstriert mit dem LiteLLM-Angriff die verheerenden Folgen von Schwachstellen in der Open-Source-Lieferkette. Das betroffene Python-Paket ist fundamental für viele Entwickler und Unternehmen, die künstliche Intelligenz einsetzen – entsprechend groß ist die potenzielle Angriffsfläche.
Das Sicherheitsunternehmen Endor Labs dokumentiert, wie die Angreifer zwei manipulierte Versionen des Pakets auf PyPI hochluden. Die bösartige Payload wurde als Base64-kodierter Code in die Datei ’litellm/proxy/proxy_server.py’ eingearbeitet. Besonders kritisch: Version 1.82.8 installiert zusätzlich eine ‘.pth’-Datei, die Python automatisch beim Start verarbeitet – unabhängig davon, ob LiteLLM tatsächlich verwendet wird.
Der Angriff folgt einer dreistufigen Strategie: Zunächst werden Zugangsdaten gestohlen – SSH-Schlüssel, Cloud-Authentifizierungstoken, Kubernetes-Secrets, Kryptowallet-Daten und Umgebungsvariablen aus ‘.env’-Dateien. Anschließend versuchen die Angreifer, sich lateral in Kubernetes-Clustern auszubreiten, indem sie privilegierte Pods auf jedem Knoten installieren. Abschließend etablieren sie eine persistente Hintertür durch einen systemd-Service, der sich als “System Telemetry Service” tarnt und regelmäßig auf der Domäne checkmarx.zone nach zusätzlichen Payloads anfrag.
Die gestohlenen Daten werden verschlüsselt in einem Archiv mit dem Namen ’tpcp.tar.gz’ zu der von Angreifern kontrollierten Infrastruktur unter models.litellm.cloud übertragen. Die Menge der betroffenen Systeme bleibt umstritten – während Quellen von etwa 500.000 berichten, konnten unabhängige Verifizierungen dies bislang nicht bestätigen.
Dieser Angriff ist Teil einer umfassenden Kampagne: TeamPCP war bereits für die Kompromittierung von Aqua Securitys Trivy-Vulnerability-Scanner verantwortlich, was zu Kaskaden-Angriffen auf Docker-Images und das Checkmarx-KICS-Projekt führte. Die Gruppe ist zudem für Kubernetes-Angriffe bekannt, die speziell Systeme mit Iran-Konfiguration mit einer Wiper-Malware zerstören.
Für betroffene Organisationen ist die Empfehlung eindeutig: LiteLLM sofort auf Version 1.82.6 oder älter zurückfahren und alle Anmeldedaten auf betroffenen Systemen als kompromittiert betrachten. Eine vollständige Rotation aller Zugriffstoken ist unerlässlich – eine Maßnahme, die zwar aufwändig ist, aber kaum zu vermeiden sein dürfte, wenn Kaskaden-Angriffe verhindert werden sollen.