LiteLLM bị tấn công chuỗi cung ứng: đánh cắp mật khẩu, khóa cloud và cài mã độc RAT

LiteLLM — thư viện mã nguồn mở phổ biến dùng làm cổng kết nối chung cho các nhà cung cấp mô hình ngôn ngữ lớn — vừa trở thành nạn nhân của một vụ tấn công chuỗi cung ứng nghiêm trọng. Kẻ tấn công đã xâm nhập quy trình phát hành và đẩy lên phiên bản độc hại 1.107.0, chứa mã đánh cắp thông tin xác thực cloud và AI, cùng một mã độc điều khiển từ xa (RAT) có khả năng thực thi mã tùy ý trên máy bị nhiễm. Bất kỳ ai từng chạy gói này trên bất kỳ nền tảng nào đều nên coi như toàn bộ bí mật của mình đã bị đánh cắp.

Diễn biến và phạm vi ảnh hưởng

Phiên bản độc hại được tải lên lúc 11:39 UTC và lan truyền qua PyPI cùng các registry Docker. PyPI đã cách ly phiên bản này trong vòng vài giờ, còn image Docker (litellm/litellm:1.107.0) cũng bị gỡ khỏi Docker Hub và GHCR ngay sau đó. Tuy vậy, thiệt hại có thể đã xảy ra trước khi các nền tảng kịp phản ứng.

Theo chuyên gia săn mã độc Ilyas Makari của Aikido Security, người dùng cần kiểm tra ngay các dấu hiệu xâm nhập:

• Nếu tồn tại file /tmp/.pc_once_* — quá trình đánh cắp dữ liệu đã kích hoạt.
• Nếu tồn tại file /tmp/remote_code_loader.lock — daemon C2 (máy chủ điều khiển) đã hoặc đang chạy.

Cảnh báo này áp dụng cho cả những ai chạy image Docker chính thức litellm/litellm:1.107.0 hoặc kéo về thông qua các tag latest, main-latest, main-stable. Phiên bản an toàn gần nhất hiện được xác định là v1.106.2.

Đáng lo ngại hơn, đây không phải lần đầu LiteLLM bị nhắm tới. Một vụ xâm nhập hồi tháng 3 được cho là đã ảnh hưởng tới hơn 2.500 tổ chức và 434.000 pipeline CI/CD trên toàn cầu, theo CloudSEK.

Tại sao sự cố này đặc biệt nguy hiểm

LiteLLM, do BerriAI phát triển, cung cấp giao diện chung cho các nhà cung cấp LLM như OpenAI, Anthropic và Google Gemini, với khoảng 23 triệu lượt tải mỗi tuần. Điều này đồng nghĩa một bản cài đặt bị nhiễm thường chạy song song với API key của các nhà cung cấp LLM, danh tính cloud và chuỗi kết nối cơ sở dữ liệu — tức là hàng loạt thông tin xác thực có giá trị bị phơi bày.

"Các nhóm đang dùng phiên bản 1.107.0 nên dừng triển khai ngay và điều tra mọi môi trường nơi Python đã chạy sau khi cài đặt, bao gồm container proxy và CI runner." — Nhóm nghiên cứu của Socket

Cơ chế lây nhiễm và đánh cắp dữ liệu

Theo hai chuyên gia Benjamin Read và Rami McCarthy của Wiz, mã độc bắt nguồn từ các commit xấu được thực hiện trên github.com/Berri-AI/litellm — một biến thể có dấu gạch nối của tổ chức hợp lệ BerriAI. Kẻ tấn công lợi dụng kho này để chèn ba file độc hại vào pipeline phát hành:

• cook.pth: khiến file cook.py tự động chạy mỗi khi Python được gọi trên máy, không cần người dùng thao tác thêm.
• cook.py: chứa mã đánh cắp thông tin (infostealer).
• sitecustomize.py: là RAT, được Python thực thi ngay lúc khởi động interpreter, sinh ra một daemon nền mỗi giờ gọi về hạ tầng của kẻ tấn công để nhận lệnh mới.

Khi hoạt động, mã đánh cắp dữ liệu nhắm vào 16 module khác nhau, bao gồm:

• Thông tin đăng nhập và cookie trình duyệt trên Chrome, Firefox, Edge và Safari.
• Thông tin xác thực AWS trong ~/.aws/, biến môi trường và metadata phiên bản EC2/ECS (IMDS).
• Khóa tài khoản dịch vụ Google Cloud Platform cùng thông tin xác thực mặc định của ứng dụng.
• Token Microsoft Azure từ bộ nhớ cache của CLI.
• API key của OpenAI, Anthropic, Cohere và các nhà cung cấp LLM khác.
• Khóa riêng SSH, khóa GPG và file lịch sử lệnh shell.

Toàn bộ dữ liệu bị đánh cắp sau đó được mã hóa bằng AES-256-CBC, khóa mã hóa được bọc bằng RSA-4096 rồi gửi qua HTTP POST tới tên miền do kẻ tấn công kiểm soát: http://www[.]litellm[.]dev/healthcheck.

Khuyến nghị cho người dùng và đội ngũ bảo mật

Aikido, Wiz và nhà cung cấp giải pháp bảo mật chuỗi cung ứng Socket đều đã công bố hướng dẫn chi tiết về săn mã độc (threat hunting) và giảm thiểu rủi ro. Các chuyên gia khuyến nghị người dùng, đặc biệt là các đội ngũ tại Việt Nam đang khai thác LiteLLM trong hạ tầng CI/CD hoặc container production, cần hành động ngay:

• Hạ cấp về phiên bản an toàn v1.106.2 hoặc sớm hơn.
• Kiểm tra các file dấu hiệu trong /tmp và rà soát log của các container proxy, CI runner.
• Luân chuyển (rotate) toàn bộ API key, khóa cloud, token và mật khẩu có thể đã bị lộ.
• Theo dõi các kết nối ra ngoài bất thường tới tên miền lạ.

BerriAI chưa phản hồi yêu cầu bình luận của giới truyền thông. Đây là sự việc đang tiếp tục phát triển và sẽ được cập nhật khi có thêm thông tin.

Với các doanh nghiệp Việt Nam đang tích cực ứng dụng AI vào sản phẩm, sự cố này là lời nhắc nhở rõ rệt về rủi ro chuỗi cung ứng phần mềm: một thư viện tiện lợi giúp kết nối nhanh với nhiều mô hình AI cũng chính là cánh cửa dẫn thẳng tới kho bí mật quan trọng nhất của hệ thống.