Złośliwe oprogramowanie, nazwane privcollect, celuje w szeroki zakres danych: klucze SSH, dane z przeglądarek, zmienne środowiskowe oraz konfiguracje narzędzi AI (Codex, Claude, Gemini). Próbuje również uzyskać dostęp do baz danych LiteLLM, co może narazić na niebezpieczeństwo klucze API wielu usług. Dane są szyfrowane przy użyciu AES-256-CBC i RSA-4096, a następnie wysyłane pod adres udający diagnostyczny endpoint healthcheck.
Ponowne zainfekowanie LiteLLM: złośliwe oprogramowanie ominęło proces zatwierdzania wersji i kradnie dane uwierzytelniające
Wersja 1.107.0 LiteLLM zawiera malware do kradzieży poświadczeń i zdalnego wykonywania kodu. Atakujący wykorzystali skradzione tokeny GitHub, aby wypuścić zainfekowany pakiet przez PyPI i Docker.
