O gateway open source LiteLLM, usado por milhões de desenvolvedores para unificar o acesso a provedores de LLM como OpenAI, Anthropic e Google Gemini, sofreu um ataque supply chain nesta quarta-feira. A versão maliciosa 1.107.0 foi distribuída via PyPI e Docker, contendo um infostealer e um RAT (Remote Access Trojan).

O que aconteceu

Criminosos comprometeram o processo de release do LiteLLM, injetando três arquivos maliciosos no pipeline via um repositório GitHub com nome semelhante ao legítimo (Berri-AI/litellm com hífen). A versão trojanizada foi enviada ao PyPI às 11:39 UTC e também publicada como imagem Docker.

O PyPI colocou a versão em quarentena em poucas horas, e a imagem Docker foi removida do Docker Hub e GHCR logo em seguida. A versão segura mais recente é a v1.106.2.

O que o malware faz

O ataque envolve dois componentes principais:

  • Infostealer — rouba credenciais de browsers (Chrome, Firefox, Edge, Safari), credenciais AWS (~/.aws/, EC2/ECS metadata), chaves de serviço do Google Cloud, tokens Azure, chaves de API de provedores de LLM (OpenAI, Anthropic, Cohere), chaves SSH/GPG e histórico de shell
  • RAT — executa automaticamente ao iniciar o Python, criando um daemon que consulta a infraestrutura do atacante a cada hora para receber comandos

Os dados roubados são criptografados com AES-256-CBC, a chave é embalada com RSA-4096, e tudo é enviado via HTTP POST para um domínio controlado pelo atacante.

O que fazer

Se você usou a versão 1.107.0 (via pip ou Docker com tags latest, main-latest ou main-stable), assuma que seus segredos foram comprometidos e tome medidas imediatas:

  • Verifique se existem os arquivos /tmp/.pc_once_* (indica que o infostealer já executou) e /tmp/remote_code_loader.lock (indica que o RAT rodou)
  • Rotacione todas as credenciais expostas (AWS, GCP, Azure, API keys de LLMs)
  • Faça downgrade para v1.106.2

A Aikido Security, Wiz e Socket publicaram instruções detalhadas de threat hunting e mitigação.

Contexto

Este não é o primeiro ataque ao LiteLLM. Em março de 2026, um comprometimento anterior potencialmente expôs mais de 2.500 organizações e 434.000 pipelines de CI/CD. O LiteLLM recebe cerca de 23 milhões de downloads semanais, o que torna qualquer comprometimento especialmente perigoso.