PyPI 上的 LiteLLM 1.107.0 被植入凭据窃取器与后门
Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
SafeDep 发现 PyPI 上的 LiteLLM 1.107.0 全部七个 wheel 被植入凭据窃取器和远程代码执行后门，PyPI 已下架该版本，1.106.2、1.107.0rc1 和 rc2 干净。
SafeDep 通过比对 sdist 与 git 树、wheel 构建时间戳，还原了恶意包如何绕过正常发布流程进入 PyPI。
• 2026年10月21日 • 阅读时长6分钟
PyPI 上的 LiteLLM 1.107.0 版本携带了一个凭据窃取程序和一个远程代码执行后门。全部七个 wheel（Linux、macOS、Windows）都会将它们作为三个文件安装到 site-packages 中。只要主机上任何 Python 进程启动，这两个程序就会运行，即使该进程从未导入 litellm。上游 GitHub 源码中不包含它们。PyPI 此后已移除该版本。
1.106.2、1.107.0rc1 和 1.107.0rc2 版本是干净的。1.107.0 所固定的配套包 litellm-proxy-extras==0.4.110 和 litellm-enterprise==0.1.78 也是干净的。
攻击做了什么
安装 litellm==1.107.0 会将三个文件放入 site-packages。Python 每次启动时都会加载其中两个。
cook.pth导入cook.py，这是一个凭据窃取程序。它收集 SSH 密钥、云凭据、CI/CD 机密、AI 工具令牌、浏览器密码，以及 LiteLLM 代理数据库中的 LLM 提供商密钥。它将数据加密后发送到www.litellm[.]dev。sitecustomize.py启动一个后台守护进程。该守护进程每小时从 GitHub 文件读取一个服务器地址，再次运行窃取程序，并从该服务器下载并运行代码。
植入程序是如何进入该版本的
1.107.0 源码分发版（sdist）中的 pyproject.toml 在 maturin 构建部分多了一行：
pyproject.toml (litellm-1.107.0.tar.gz)
TOML 6 行
maturin 的 data = "cook" 设置会将一个 cook/ 文件夹复制到 wheel 中的 litellm-1.107.0.data/purelib/。pip 会将该文件夹安装到 site-packages。
sdist 中省略了 cook/ 文件夹，因此这一行是唯一可见的改动。BerriAI/litellm 中没有任何公开提交包含 data = "cook" 或 cook/ 文件夹。
wheel 的 RECORD 列出了新增的三个文件：
litellm-1.107.0.dist-info/RECORD
TEXT 4 行
该版本与其标签不匹配
标签 v1.107.0 指向提交 66c8f5b（UTC 06:59）。其 pyproject.toml 显示为 version = "1.108.0"。SafeDep 通过 blob 哈希将每个 sdist 文件与 git 树进行了比对。该 sdist 匹配的是稍后的 main 提交 a8113b0（UTC 08:50），外加五个被编辑的文件和 cook/ 文件夹。
被编辑的四个文件是 Cargo.toml 文件，它们增加了一行 readme = "README.md"。合法的 1.106.2 和 rc2 版本也有相同的编辑。第五个是 pyproject.toml，此处与 a8113b0 进行对比：
pyproject.toml (a8113b0 → litellm-1.107.0.tar.gz)
DIFF 11 行
该编辑将版本改回 1.107.0，并将配套包固定为 rc2 的值。因此，与 rc2 的依赖差异不会显示任何异常。合法的 1.106.2 sdist 与其标签提交 49943cd 匹配，除了 Cargo.toml readme 行之外。
这些 wheel 是如何构建的
恶意 wheel 与正常 BerriAI 发布流水线的输出相匹配：
WHEEL文件标明maturin1.9.4，与合法版本中的版本相同。植入文件的RECORD条目正确，表明构建后没有编辑。- Zip 时间戳显示各平台是分别构建的：macOS 在 UTC 11:20，Linux 在 11:21，Windows 在 11:37。
- 在 Windows wheel 中，全部 2,804 个
.py文件都使用 CRLF 行尾，包括三个植入文件。Linux wheel 则没有。在 Windows 上使用行尾转换进行 git checkout 会产生这种模式。
没有任何公开的 GitHub Actions 运行构建或发布了该版本。SafeDep 检查了 UTC 09:30 至 12:30 之间的全部 539 次运行。在 UTC 11:50，即 PyPI 上传后约 10 分钟，litellm-dispatcher[bot] 发布了 GitHub 版本 v1.107.0。1.106.2 也出现了相同的延迟。PyPI 没有 1.107.0、1.106.2 或 rc2 的来源证明。
SafeDep 以中高置信度评估认为，BerriAI 的私有发布流水线是从一个被攻击者修改过的 git 源码构建出这些 wheel 的。攻击者可能使用了被入侵的维护者或机器人凭据、私有分支或镜像，或者流水线所构建的引用。使用攻击者自己机器上的被盗 PyPI token 与证据的吻合度较低。只有 BerriAI 的流水线日志才能确认原因。
载荷 1：cook.py 中的凭据窃取程序
启动时，Python 会运行 site-packages 中 .pth 文件里每一行以 import 开头的代码。cook.pth 包含 import cook，因此该窃取程序会在主机上的每个 Python 进程中运行：应用程序、pip、IDE 语言服务器以及 CI 任务。
cook.py 将约 61 KB 的 Python 代码封装在一层 exec(zlib.decompress(base64.b64decode('...'))) 中。解码后的代码以以下配置开头：
cook.py（解码后）
PYTHON 10 行
它收集的内容
| 模块 | 目标 |
|---|---|
sysinfo、netinfo | 主机名、用户、操作系统、IP 地址、网络设置 |
browser_pw | Chromium 保存的密码，使用配置文件主密钥解密（Windows 上为 DPAPI）。Firefox logins.json 和 key4.db |
browser_hist | 浏览器历史记录 |
ssh_keys | ~/.ssh/* |
shell_hist | bash 和 zsh 历史记录、PowerShell PSReadLine、cmd 历史记录 |
cloud_creds | ~/.aws/credentials 和 config、Azure 配置文件和令牌、gcloud 凭据、~/.kube/config、~/.docker/config.json、gh hosts.yml、rclone.conf、~/.netrc |
dev_secrets | $HOME 下的 .pem、.key、.pfx、.p12、.pk8、.ppk 文件，Composer auth.json，FileZilla 保存的服务器 |
container_creds | Kubernetes 服务账户令牌 |
cicd_secrets | GitLab runner config.toml、Jenkins initialAdminPassword 和 master.key、.vault-token、Terraform credentials.tfrc.json、Packer 设置 |
ai_devtools | Claude Code、Claude Desktop、Cursor、Windsurf、Copilot、VS Code mcp.json、Gemini CLI、Codex auth.json、Continue、Aider、Goose、opencode、Qwen、Crush、Kiro、Zed、Hugging Face token |
env_vars | 其自身环境以及通过 /proc/<pid>/environ 获取的其他进程环境 |
db_litellm | 读取 DATABASE_URL 并转储 LiteLLM_CredentialsTable 和 LiteLLM_ProxyModelTable 表，这些表保存了 LiteLLM 代理的 LLM 提供商 API 密钥 |
cloud_metadata | AWS 实例元数据服务（先 IMDSv2，后 v1）：实例身份和角色凭据 |
gpg_keys、tls_privkey | GPG 密钥、TLS 私钥 |
它如何发送数据
- 它使用随机 AES-256-CBC 密钥加密 JSON 结果，并使用 RSA-OAEP 和嵌入的公钥加密该密钥。
- 它将结果打包成 tar.gz（
hdr.json、data.bin、key.bin），并通过 POST 请求发送到www.litellm[.]dev/healthcheck，请求头为X-Token: XWiA8gZNa7NcX2XRoAEb。 - 上传成功后，它会写入
/tmp/.pc_once_72129118c59f5636c0bb，以便每台主机只收集一次。它还会设置PRIVCOLLECT_ACTIVE=1，以避免在同一进程树中第二次运行。
载荷 2：sitecustomize.py 中的后门
Python 在启动时会导入 sitecustomize，因此该文件也会在每个 Python 进程中运行。
sitecustomize.py
PYTHON 5 行
- 它对
/tmp/remote_code_loader.lock获取独占锁，因此每台主机只运行一个守护进程。 - 它调用
fork()和setsid()，将标准输入和输出发送到/dev/null，并将目录切换到/以脱离父进程。 - Every hour, it:
- 从攻击者的 GitHub 仓库读取
domain.txt，并取第一行看起来像域名的内容， - 运行其内嵌的窃取程序副本，该副本没有每主机一次标记，
- 下载
http://<domain>/codepy并使用exec()运行它。
- 从攻击者的 GitHub 仓库读取
攻击者可以通过编辑 domain.txt 将守护进程指向新服务器。每台受感染主机都会运行该服务器返回的任何 codepy。
UTC 13:40，GitHub 账户 letters9813 及其仓库返回 404，此时距发布约两小时。后门现在找不到服务器地址，因此什么也不做。在删除之前运行过守护进程的主机可能已接收并运行了第二阶段代码。SafeDep 无法恢复服务器地址。
时间线
所有时间均为 2026-10-21 UTC。
| 时间 | 事件 |
|---|---|
| 06:59 | 标记 v1.107.0 提交 66c8f5b 已创建 |
| 08:50 | main 上的提交 a8113b0，即发布源码的基础 |
| 10:44 | 合法的 1.106.2 已上传至 PyPI |
| 11:20 至 11:37 | 构建了恶意 1.107.0 wheels |
| 11:39 至 11:40 | 1.107.0 上传至 PyPI（全部 8 个文件） |
| 11:50 | litellm-dispatcher[bot] 发布 GitHub release v1.107.0 |
| 13:40 | 已观察到：1.107.0 从 PyPI 消失，letters9813 账号被删除 |
入侵指标
网络
| 指标 | 用途 |
|---|---|
www.litellm[.]dev、hxxp://www.litellm[.]dev/healthcheck | 接收窃取的数据 |
HTTP 头 X-Token: XWiA8gZNa7NcX2XRoAEb | 每次上传时发送 |
raw.githubusercontent[.]com/letters9813/pythonclient-test/main/domain.txt | 后门从此处读取其服务器地址（账号已删除） |
hxxp://<domain>/codepy | 第二阶段代码下载 |
来自 Python 进程的对 169.254.169.254 的请求 | 窃取 AWS 实例凭证 |
主机
| 指标 | 含义 |
|---|---|
site-packages 中的 cook.pth、cook.py、sitecustomize.py | 植入程序已安装 |
/tmp/.pc_once_72129118c59f5636c0bb | 窃取程序已上传数据 |
/tmp/remote_code_loader.lock | 后门守护进程已运行 |
环境变量 PRIVCOLLECT_ACTIVE=1 | 存在于受感染的进程中 |
分离的 Python 守护进程（父 PID 为 1，独立会话，工作目录为 /） | 后门循环 |
文件哈希（SHA-256）
| 文件 | SHA-256 |
|---|---|
litellm-1.107.0.tar.gz | 2befe2a79fb4fbbd9a543b5b40b530c8cffa8771bab22b8fb22b2e4ae3b1f819 |
litellm-1.107.0-cp310-abi3-manylinux_2_28_x86_64.whl | 462d0c9f67ca522d9e0e4acd245e90b36ce0d5353604a66bb7c43a1ec4a6fcf7 |
litellm-1.107.0-cp310-abi3-manylinux_2_28_aarch64.whl | 668169d35b87bf51324080390b1b1c5ab12bd335cfe5f1a99e3689abd5e02ae6 |
litellm-1.107.0-cp310-abi3-musllinux_1_2_x86_64.whl | 1bbce8caa94f01c0aaa0b7ddae51553a8a32e1ce53d96d44fe583272aff7ad00 |
litellm-1.107.0-cp310-abi3-musllinux_1_2_aarch64.whl | c2e32d0ce2548aa662c18bf5001911a79fe5b30cf8357132275add02fdcde054 |
litellm-1.107.0-cp310-abi3-macosx_10_12_x86_64.whl | 7598727f209d717041db37f7dca271d3a7d328a279890e0e1d55375729aeb86d |
litellm-1.107.0-cp310-abi3-macosx_11_0_arm64.whl | 0aaf7ba346d41ef2f40390436738b001180d5a1c03aa093f121078a9969d9a1a |
litellm-1.107.0-cp310-abi3-win_amd64.whl | 12d4ccc5c6f8d35cf4f2cf233b7f3e418e863e657d81ff5f5fc9e210005b9484 |
植入的文件，来自 wheel RECORD：
| 文件 | SHA-256（URL 安全的 base64） |
|---|---|
cook.pth | fxkWMucyBwXRVLhSBPGuVGtUOsvX6IYSKbdvUEK5K9s |
cook.py | ndCjkm-Wo364bPHuIxDZvpMTnMTr7z754u_pUxOQviU |
sitecustomize.py | NL7wT-iKydCq4EdWMLFzhoHRW5TyM6yKpG6s9ZaDBfo |
- pypi
- python
- malware
- supply-chain
- litellm
作者
The Latest from SafeDep blogs
关注以获取有关开源安全与工程的最新动态和见解
交付代码。
而非恶意软件。
在您的机器上使用开源工具免费开始。为您的组织扩展到统一平台。
来源：Hacker News · safedep.io