W popularnym pakiecie LiteLLM wykryto złośliwą wersję 1.107.0, która została opublikowana w repozytoriach PyPI oraz Docker Hub (w tym tagi latest, main-latest i main-stable). Atak typu supply chain został przeprowadzony poprzez złośliwe commity w repozytorium, które podszywało się pod oficjalną organizację BerriAI. Najbezpieczniejszą obecnie wersją jest v1.106.2.
Po instalacji złośliwy kod rozpakowuje pliki cook.pth, cook.py oraz sitecustomize.py bezpośrednio do katalogu site-packages. Mechanizm ten sprawia, że kod wykonuje się automatycznie przy każdym uruchomieniu interpretera Pythona. Skrypt kradnie dane z przeglądarek, systemów, chmur oraz sekretów narzędzi AI, a następnie przesyła je zaszyfrowane na serwer kontrolowany przez napastnika.
Dodatkowo, na systemach Linux i macOS, plik sitecustomize.py próbuje pobrać instrukcje z zewnętrznego repozytorium GitHub, co mogło służyć do pobrania drugiego etapu złośliwego oprogramowania. Atakujący wykorzystali technikę podszywania się pod infrastrukturę LiteLLM, używając domeny litellm.dev do eksfiltracji danych.
