Lieferketten-Angriff auf weit verbreitetes KI-Paket LiteLLM gefährdet Tausende Unternehmen

Wie der Schadcode in das legitime Softwarepaket gelangte, ist bislang nicht abschließend geklärt. Forscher halten die Übernahme des Kontos eines Maintainers für die wahrscheinlichste Erklärung, da die schädlichen Versionen mit gültigen Veröffentlichungsrechten hochgeladen wurden.

Die manipulierten Pakete sollten nicht nur Zugangsdaten abgreifen, sondern auch dauerhaften Zugriff aufrechterhalten: Ein installierter Downloader ermöglichte den Angreifern, tiefer in Systeme einzudringen und weitere Angriffe anzuschließen. Adam Reynolds, leitender Sicherheitsforscher bei Sonatype, berichtete von auffälligem Verhalten der Malware. So kontaktiere sie ihren Steuerungs-Endpunkt nur alle 50 Minuten.

Diese lange Verzögerung könne dazu dienen, Sandbox-Umgebungen zu umgehen, die Proben üblicherweise nur über kürzere Zeiträume ausführen, oder als eine Art Lebenszeichen-Mechanismus funktionieren, mit dem die Betreiber echte Ziele von Forschern unterscheiden, die ihre Infrastruktur untersuchen wollen. “In einigen Fällen enthielt die Antwort des Servers nur einen Link zu einem auf YouTube gehosteten Lied, was die Vermutung stützt, dass die Auslieferung der Schadlast gezielt gesteuert wird”, sagte Reynolds.

Nach Einschätzung von Wiz ist der Vorfall Teil einer größeren Kampagne, zu der sich eine Gruppe namens TeamPCP bekennt. Diese nutzt einen öffentlichen Telegram-Kanal, um für sich zu werben und Geschäfte mit anderen Cyberkriminellen anzubahnen. “Das ist nicht nur Diebstahl von Zugangsdaten”, sagte Ben Read, Direktor für strategische Bedrohungsaufklärung bei Wiz. “Indem sie sich durch weit verbreitete Werkzeuge bewegen, erzeugen sie einen Schneeball-Effekt, der weitere Kompromittierungen ermöglicht.”

TeamPCP hatte zuvor einen Angriff auf den Schwachstellen-Scanner Trivy von Aqua Security für sich reklamiert – ein vom Unternehmen bestätigter Vorfall – und gibt an, mit mehreren weiteren kriminellen Organisationen zusammenzuarbeiten, was bislang nicht belegt ist. Die Gruppe kündigte an, weiterhin verbreitete Open-Source-Projekte ins Visier zu nehmen; ihre Angaben ließen sich nicht überprüfen, und solche Gruppen übertreiben ihre Erfolge häufig. Ein Telegram-Konto, das sich als neuer Anführer der Gruppe ausgibt, erklärte am Mittwoch, man sichte “aktiv die Sätze an Zugangsdaten”, deren Menge selbst für die vereinte Mannstärke der Teams “astronomisch” sei.

Öffentlich bestätigte Berichte über eine breit angelegte Ausnutzung im Zusammenhang mit dem LiteLLM-Vorfall gibt es bislang nicht. “Für die meisten Einzelpersonen ist das unmittelbare Risiko gering, sofern sie nicht selbst die betroffenen Versionen installiert haben”, sagte Reynolds. Da die Malware ein breites Spektrum an Zugangsdaten ins Visier nehme und LiteLLM weit verbreitet sei, könnten jedoch Folgeeffekte zweiter und dritter Ordnung entstehen – mit weiteren Datenpannen, Dienstausfällen oder Missbrauch sensibler Daten weit über den ursprünglichen Angriffspunkt hinaus. “Das ist kein isolierter Vorfall, sondern eine systematische Kampagne”, so Read. “Sie wird wahrscheinlich weitergehen.”

Frühere ähnliche Angriffe – etwa die in das Werkzeug XZ Utils eingebettete Hintertür, vor der die US-Behörde CISA und das Unternehmen Red Hat gewarnt hatten, sowie der Wurm Shai Hulud – zielten ebenfalls auf von Entwicklern vertraute Software-Abhängigkeiten, um Angriffe über ein einzelnes Opfer hinaus zu skalieren.