TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
LiteLLM ถูกโจมตี Supply Chain เป็นครั้งที่สองของปี หลังผู้โจมตีเข้าควบคุม release pipeline แล้วปล่อยเวอร์ชัน 1.107.0 ที่ฝังมัลแวร์ขโมย credential ขึ้น PyPI และ Docker registry ผู้ที่ติดตั้งเวอร์ชันนี้ควรถือว่า credential ทั้งหมดรั่วไหลแล้วและต้อง rotate ทันที
LiteLLM ระบุว่า release pipeline ของบริษัทถูกเจาะเมื่อวันที่ 21 ตุลาคม 2026 และถูกใช้ปล่อยเวอร์ชัน 1.107.0 ที่มี compiled malware สำหรับขโมย credential และโหลดเครื่องมือสำหรับรันโค้ดจากระยะไกล (Remote Code Execution) โดยแพ็กเกจอันตรายอยู่บน PyPI ระหว่างเวลา 11:39 ถึง 13:23 UTC ส่วน Docker image ที่ติด tag v1.107.0, latest, main-latest และ main-stable แจกจ่าย build ที่ถูกฝังมัลแวร์ระหว่าง 11:46 ถึง 14:20 UTC เวอร์ชันก่อนหน้าทั้งหมดยังปลอดภัย และเวอร์ชันที่ได้รับผลกระทบถูกถอดออกแล้ว ทั้งนี้ LiteLLM เคยถูกโจมตี Supply Chain มาแล้วเมื่อเดือนมีนาคม ซึ่งข้อมูลที่ถูกขโมยไปในครั้งนั้นเชื่อมโยงกับองค์กรเกือบ 2,500 แห่ง รวมถึง AWS, Samsung, Cisco และ Salesforce
จากรายงานเหตุการณ์ของ LiteLLM ผู้โจมตีใช้บัญชี GitHub ของวิศวกร 3 คน โดยคาดว่าเข้าถึงผ่าน GitHub CLI OAuth token ที่ถูกขโมยไป บัญชีแรกใช้แก้ไข release pipeline และสั่ง release บัญชีที่สองใช้อนุมัติ และบัญชีที่สามใช้ลบ workflow record ทำให้ log สำหรับการสืบสวนเหลือน้อยลง บริษัทพบบัญชีผู้ใช้งานแปลกปลอมที่ตั้งชื่อให้ดูไม่น่าสงสัยใน LiteLLM deployment ภายในซึ่งเปิดออกสู่อินเทอร์เน็ต และเชื่อว่าผู้โจมตีดึง token ออกมาจาก log ของ deployment นี้ โดย LiteLLM พบว่าในบางกรณี Claude Code จะฝัง GitHub CLI OAuth token ของผู้ใช้งานไว้ใน response body ดังนั้นระบบที่เก็บ log ของ response body ไว้ก็อาจมี token เหล่านี้ปะปนอยู่ ส่วนช่องทางที่ผู้โจมตีใช้เข้าถึง deployment นั้นยังไม่ได้รับการยืนยัน แต่บริษัทสงสัยว่ามาจากช่องโหว่ที่เพิ่งได้รับการแพตช์ไป
Socket ประเมินว่า LiteLLM มียอดดาวน์โหลดราว 23 ล้านครั้งต่อสัปดาห์ แพ็กเกจอันตรายถูกปล่อยขึ้น PyPI ทั้งหมด 7 build ครอบคลุม macOS, Linux และ Windows โดยโค้ดอันตรายถูกฝังไว้ใน Python startup file จึงทำงานทุกครั้งที่ Python เริ่มทำงาน แม้แอปพลิเคชันจะไม่ได้โหลด LiteLLM เลยก็ตาม นอกจากนี้ build record ของ container image ยังระบุว่า release workflow บันทึก repository ต้นทางเป็น Berri-AI/litellm ซึ่งต่างจากโปรเจกต์จริง BerriAI/litellm เพียงเครื่องหมายขีดเดียว
มัลแวร์นี้ขโมย credential ของ AWS, Azure, Google Cloud, Kubernetes และ Docker รวมถึง Git credential, SSH key, GPG key, รหัสผ่านและ cookie ที่บันทึกในเบราว์เซอร์ ไปจนถึงประวัติการใช้งานเบราว์เซอร์และ shell history นอกจากนี้ยังค้นหาไฟล์ authentication ของ Codex, Claude, Gemini และ Cursor และพยายามดึง credential กับการตั้งค่าโมเดลจากฐานข้อมูลของ LiteLLM proxy ข้อมูลที่เก็บได้จะถูกเข้ารหัสแล้วส่งไปยังปลายทาง “healthcheck” บนโดเมน litellm[.]dev อีกทั้งยังมี component ที่สองคอยเช็กไฟล์บน GitHub เพื่อรับโดเมนสำหรับดาวน์โหลดและรันโค้ด Python เพิ่มเติม
ทีมวิจัยจาก Wiz พบว่า credential ที่ถูกขโมยถูกนำไปใช้จริงแล้ว โดยราว 4 ชั่วโมงครึ่งหลังข้อมูลถูกส่งออกจากระบบของเหยื่อ ผู้โจมตีเริ่มทดสอบ AWS credential ที่ได้จาก CI runner และ Kubernetes node และตรวจสอบว่าเข้าถึงโมเดล AI บน Amazon Bedrock ได้หรือไม่ ซึ่งเป็นพฤติกรรมแบบ LLMjacking ในบางระบบผู้โจมตียังไล่ดู IAM role, IAM user และ access key รวมถึงข้อมูลบัญชีและการตั้งค่า logging ด้วย เวอร์ชันล่าสุดที่ปลอดภัยคือ 1.106.2 แต่การอัปเดตอย่างเดียวไม่พอ Aikido แนะนำให้ผู้ที่ติดตั้งเวอร์ชัน 1.107.0 ก่อนถูกถอดออก rotate credential ทั้งหมดทันที ลูกค้า Enterprise ที่ใช้ private registry ของ LiteLLM ไม่ได้รับผลกระทบ ส่วน Aikido, Wiz และ Socket ได้เผยแพร่ Indicators of Compromise (IoC) และขั้นตอนการกำจัดมัลแวร์อย่างละเอียดแล้ว
ที่มา: https://www.helpnetsecurity.com/2026/10/22/litellm-compromised-supply-chain-attack-pypi-docker/
