Ataque ao LiteLLM vaza dados de 49 mil usuários desde maio

Segurança Digital

Vazamento expõe dados de milhares após ataque à cadeia de suprimentos do LiteLLM em maio.

Leia também: CISA manda corrigir falhas críticas em Collabora e Arista

Um ataque à cadeia de suprimentos do LiteLLM, ferramenta open-source usada por desenvolvedores de inteligência artificial, comprometeu credenciais de cerca de 49 mil usuários após a publicação de uma versão maliciosa do software no Python Package Index (PyPI) na semana passada. O incidente começou com a exposição acidental de uma chave mestra em maio e já leva a recomendações urgentes para troca de senhas e revogação de chaves de acesso.

Como a chave mestra vazada levou ao ataque

De acordo com a análise interna do projeto, o problema teve origem em maio, quando um arquivo de configuração contendo a chave mestra de uma ferramenta interna usada para rodar agentes de IA foi publicado por engano. O arquivo foi removido, mas a chave não foi revogada, abrindo espaço para o ataque.

No início deste mês, um invasor não identificado usou essa chave para acessar as ferramentas do LiteLLM e obter um token com controle total sobre todos os repositórios da empresa no GitHub. A partir daí, o atacante conseguiu inserir código malicioso no projeto.

“O atacante então explorou múltiplos controles de segurança independentes para distribuir uma versão da ferramenta contendo malware para coleta de credenciais”, afirmou o LiteLLM em seu relatório de causa raiz.

Versão 1.107.0 maliciosa ficou duas horas no PyPI

Na semana passada, o invasor publicou no PyPI a versão 1.107.0 do LiteLLM, modificada para incluir o malware de roubo de credenciais. O pacote comprometido ficou disponível por cerca de duas horas e foi baixado aproximadamente 49.000 vezes por desenvolvedores e empresas que atualizam o software automaticamente.

Segundo a empresa de segurança em nuvem Wiz, ligada ao Google, “o pacote comprometido foi baixado cerca de 49.000 vezes e as credenciais roubadas estavam sendo testadas em poucas horas” após a publicação.

O comportamento do invasor chamou atenção por mirar diretamente contas em nuvem: em poucas horas, as credenciais surrupiadas começaram a ser usadas para tentar acessar serviços da Amazon Web Services (AWS), em especial modelos de IA, caracterizando um ataque do tipo “LLMjacking”. Nesse tipo de crime, contas de nuvem roubadas são usadas para rodar serviços de inteligência artificial, deixando às vítimas a conta financeira do processamento.

Malware roda sempre que o Python inicia

A Microsoft detalhou o funcionamento do código malicioso embutido na versão adulterada do LiteLLM. “O malware foi projetado para rodar sempre que o Python fosse iniciado, mesmo que o programa não usasse o LiteLLM”, explicou a empresa.

Na prática, isso amplia a superfície de ataque: basta que o pacote comprometido esteja instalado em uma máquina para que o malware tenha chance de executar, coletar credenciais e enviá-las ao invasor, independentemente de o projeto usar ou não a biblioteca no código principal.

Com isso, ambientes de desenvolvimento, servidores de aplicação e estações de trabalho de equipes técnicas que apenas instalaram a dependência passam a ter risco elevado de vazamento de chaves de acesso e senhas ligadas a serviços de nuvem e outros sistemas internos.

Quem instalou a versão 1.107.0 deve fazer o quê?

Para o LiteLLM, não há meio-termo: todos que instalaram a versão 1.107.0 em computadores conectados à internet devem presumir que foram comprometidos. “Quem instalou a versão comprometida deve assumir que suas credenciais foram roubadas e alterar todas as senhas e chaves de acesso”, alertou o projeto.

A recomendação inclui não só senhas de contas em nuvem, como AWS, mas qualquer credencial que pudesse ser acessada a partir da máquina infectada: chaves de API, tokens de automação, senhas de bancos de dados, repositórios de código e ferramentas internas. O ideal é revogar chaves antigas, gerar novas e revisar logs de acesso em busca de atividades suspeitas.

O LiteLLM afirma ainda estar revogando tokens em seus próprios sistemas internos e em plataformas de fornecedores para reduzir as chances de um novo abuso da infraestrutura comprometida.

Entenda o contexto

O caso reacende o alerta sobre a segurança na cadeia de suprimentos de software, especialmente em projetos open-source amplamente usados em inteligência artificial e computação em nuvem. Ao atacar um pacote popular em um repositório central como o PyPI, criminosos conseguem alcançar milhares de ambientes com uma única ação.

Este é o segundo comprometimento da cadeia de suprimentos do LiteLLM neste ano. Em um episódio anterior, versões maliciosas do pacote também foram publicadas no PyPI em uma campanha atribuída ao grupo hacker TeamPCP, alvo de ações policiais na Austrália. Agora, o atacante responsável pelo novo incidente ainda não foi identificado publicamente.

Especialistas apontam que episódios desse tipo devem acelerar a adoção de práticas mais rígidas de segurança em desenvolvimento, como revogação imediata de chaves expostas, uso de assinaturas digitais para pacotes, revisão reforçada de permissões em plataformas como o GitHub e monitoramento contínuo de comportamentos anômalos em contas de nuvem.

As investigações continuam para rastrear o invasor e possíveis abusos das credenciais roubadas, enquanto empresas e desenvolvedores correm para trocar chaves e blindar seus ambientes antes de novos ataques.