LiteLLM 올해 두 번째 악성코드 감염: 호출하지 않아도 키를 훔칠 수 있다

동찰 Beating AI 속보, 보안 회사 JFrog가 인기 오픈소스 AI 모델 게이트웨이 LiteLLM이 다시 공급망 공격을 받았다고 발견했습니다. 최신 1.107.0 버전에 악성 프로그램이 삽입되었으며 공식 Docker 이미지도 영향을 받았습니다. LiteLLM은 OpenAI, Anthropic 등의 모델을 통합 호출하고 API 키를 중앙 관리할 수 있으며, 올해 3월에도 또 다른 공급망 공격으로 인해 오염된 적이 있습니다.

이번 공격은 더욱 은밀합니다. 해커는 Python 설치 패키지에 세 개의 추가 파일을 숨겼습니다. 사용자가 설치한 후 관련 Python 환경을 시작하기만 하면 LiteLLM을 호출하지 않아도 악성 코드가 자동으로 실행됩니다. 이는 브라우저 비밀번호, SSH 개인 키, AWS 등 클라우드 플랫폼 자격 증명, 그리고 Claude, Codex, Cursor 등 개발 도구의 인증 정보를 수집합니다. 또한 LiteLLM 데이터베이스에 저장된 모델 API 키를 읽어 공식 도메인으로 위장한 서버로 전송하려고 시도합니다.

공격자는 또한 지속성 백도어를 남겨 매시간 원격 명령을 확인하고 필요 시 새로운 코드를 다운로드하여 실행합니다. 더 골치 아픈 것은 GitHub의 정식 버전 소스 코드에는 이러한 악성 파일이 없지만 PyPI에 배포된 일곱 개 플랫폼의 모든 설치 패키지에 트로이 목마가 삽입되었다는 점입니다. 커뮤니티는 Docker 빌드 기록을 통해 배포 시스템이 사용한 소스 주소가 공식 저장소 이름과 하이픈 하나만 다른 모조 저장소를 가리킨다는 것을 발견했습니다. 그것이 어떻게 배포 프로세스에 혼입되었는지는 아직 밝혀지지 않았습니다.

현재 PyPI는 악성 버전을 제거했고 Docker Hub도 영향을 받은 이미지를 철회했습니다. JFrog는 1.107.0을 설치하거나 실행한 사용자는 관련 자격 증명이 유출되었을 수 있다고 간주하고 환경을 격리 및 재구축하며 API 키 등 민감한 자격 증명을 교체해야 하며 단순히 소프트웨어를 제거해서는 안 된다고 경고했습니다. 안전한 것으로 확인된 롤백 버전은 1.106.2입니다.