Обнаружен вредоносный код в библиотеке ИИ, крадущий кошельки и учетные данные

• Зараженная версия была доступна менее часа и была обнаружена случайно.

• Вредоносный код распространялся на любые проекты, использующие LiteLLM в качестве зависимости.

24 марта версия 1.82.8 библиотеки LiteLLM была опубликована в PyPI, официальном репозитории пакетов Python, и содержала вредоносный код, предназначенный для кражи финансовых данных, ключей кошельков криптовалют и доступа к облачной инфраструктуре. Зараженная версия была доступна менее часа, прежде чем была обнаружена и удалена, как объяснила компания FutureSearch.

Согласно заявлению компании, для заражения не требовалось никаких дополнительных действий со стороны пользователя. Достаточно было обновить библиотеку LiteLLM, пока активна была зараженная версия, чтобы вредоносный код автоматически запустился.

Согласно техническому анализу FutureSearch, злоумышленник получил учетные данные разработчика LiteLLM и использовал их для публикации зараженной версии непосредственно в PyPI. Сигнал тревоги был поднят после того, как было установлено, что эта новая версия не была представлена в официальном репозитории GitHub проекта, где обычно регистрируются все выпуски перед публикацией.

В момент, когда сообщество открыло публичный отчет в GitHub, чтобы предупредить об атаке, владелец репозитория закрыл его без объяснений и без признания проблемы, сообщают в FutureSearch.

Вскоре после этого сотни автоматизированных аккаунтов засыпали обсуждение сообщениями, чтобы скрыть предупреждение среди тысяч публикаций. Согласно отчету FutureSearch, такая реакция указывает на то, что злоумышленник не только получил контроль над пакетом, опубликованным в PyPI, но и над аккаунтом самого автора LiteLLM в GitHub.

CriptoNoticias подтвердила, что на момент написания этого текста репозиторий LiteLLM был доступен:

Изображение автоматически переведено с помощью Google Translate. Источник: GitHub.

LiteLLM - это библиотека с открытым исходным кодом, написанная на Python, которая выступает в качестве универсального переводчика между приложениями искусственного интеллекта и более чем 100 поставщиками языковых моделей, включая OpenAI, Anthropic, Google и Amazon Web Services (AWS).

Вместо написания отдельного кода для каждого поставщика, разработчики используют LiteLLM в качестве промежуточного слоя, который управляет всеми подключениями в едином формате. С 97 миллионами загрузок в месяц, это один из самых используемых инструментов в экосистеме искусственного интеллекта: такие компании, как Netflix, Character.ai и сотни стартапов, интегрируют его в свои продукты.

Кроме того, фактором, усилившим риск, была временная распространение. LiteLLM не просто устанавливается напрямую: он является зависимостью десятков популярных проектов. Это означает, что разработчик, установивший другой проект, который зависел от LiteLLM, также подвергался риску, не зная об этом и не устанавливая его явно.

Как работал вредоносный код?

Вредоносный код работал в три этапа:

• Первый этап - сбор информации: скрипт сканировал зараженный компьютер в поисках файлов криптовалютных кошельков, паролей баз данных, учетных данных AWS, файлов 'env' с ключами API, истории терминала и любых файлов, соответствующих распространенным шаблонам секретов. Он также выполнял команды для извлечения переменных окружения и запрашивал службы метаданных экземпляров облачных сервисов для получения дополнительных учетных данных.

• Второй этап - кража данных: вся собранная информация шифровалась и отправлялась на внешний домен, не связанный с законной инфраструктурой LiteLLM.

• Третий этап - обеспечение устойчивости и распространение: если зараженный компьютер имел доступ к кластеру Kubernetes, вредоносное ПО считывало все секреты кластера и пыталось создать привилегированные поды на каждом узле для установки постоянной бэкдорной программы. На локальных машинах он делал то же самое с помощью системной службы.

Согласно отчету FutureSearch, обнаружение вредоносного ПО в LiteLLM произошло случайно, поскольку этот вредоносный код имел ошибку. При запуске он создавал процесс, который экспоненциально реплицировался до исчерпания оперативной памяти и сбоя компьютера.

Один из инженеров FutureSearch заметил проблему, когда LiteLLM загружался как зависимость плагина в среде разработки Cursor. «Один из наших инженеров заметил проблему и использовал Claude Code для выявления первопричины», - говорится в отчете. Если бы не эта ошибка, вредоносное ПО могло бы работать незаметно в течение дней или недель.

«Самое страшное в современном программном обеспечении»

Andrej Karpathy, сооснователь OpenAI и бывший директор по искусственному интеллекту компании Tesla, написал 24 марта: «Атаки на цепочку поставок – это, пожалуй, самое страшное, что может случиться в современном программном обеспечении. Каждый раз, когда вы устанавливаете какую-либо зависимость, вы можете случайно загрузить зараженный пакет из любой точки его дерева зависимостей».

Karpathy пошел дальше, чем просто этот конкретный случай, и поставил под сомнение модель разработки, основанную на зависимостях: «Это заставило меня все больше избегать зависимостей, предпочитая использовать модели языка для копирования функциональности, когда это достаточно просто и возможно».

Термин, который Karpathy использовал для описания альтернативной модели, был «yoink»: копировать или повторно использовать простой код с помощью моделей языка вместо добавления внешней зависимости. Эта идея не нова, но атака на LiteLLM предоставила ей конкретный и недавний аргумент.

Повторяющийся паттерн в экосистеме ИИ

Инцидент с LiteLLM – это не единичный случай. 16 марта, как сообщало CriptoNoticias, компания 360 Security, крупнейшая компания по кибербезопасности в Китае, по ошибке разместила в открытом доступе сертификат SSL и закрытый ключ RSA одного из своих доменов в установщике своего нового ИИ-ассистента, 360 Safety Lobster.

Этот ключ был доступен для скачивания в течение двух дней, что было достаточно времени для того, чтобы злоумышленники проиндексировали его для атак типа «человек посередине», то есть для перехвата зашифрованного трафика между пользователями и законными серверами компании.

В обоих случаях вектор был одинаковым: код, распространяемый публично в средах быстрого развертывания, без достаточной проверки безопасности. Разница заключается в том, что инцидент с 360 Security был операционной ошибкой, а инцидент с LiteLLM был преднамеренной атакой. То, что их объединяет, – это контекст: скорость развертывания инструментов ИИ опережает меры безопасности.

Теги: Криптовалюты Хакеры Искусственный интеллект (ИИ) Последние новости Важные новости

У вас есть важная информация для наших репортеров? Свяжитесь с нами