LiteLLM 1.107.0 遭篡改，植入憑證竊取程式與遠端程式碼執行後門

• 2026 年 10 月 21 日 • 6 分鐘閲讀

PyPI 上的 LiteLLM 1.107.0 版本含有憑證竊取程式和遠端程式碼執行後門。全部七個 wheel 檔（Linux、macOS、Windows）都會在 site-packages 安裝這三個檔案。只要主機上有任何 Python 程序啟動，兩者便會執行，即使該程序從未匯入 litellm 也一樣。上游 GitHub 原始碼並不包含這些檔案。PyPI 其後已移除這個版本。

1.106.2、1.107.0rc1 和 1.107.0rc2 版本均未受影響。1.107.0 鎖定版本的配套套件 litellm-proxy-extras==0.4.110 和 litellm-enterprise==0.1.78 亦未受影響。

攻擊的運作方式

安裝 litellm==1.107.0 會在 site-packages 放入三個檔案。每次 Python 啟動時都會載入其中兩個檔案。

1. cook.pth 會匯入憑證竊取程式 cook.py。它會收集 SSH 金鑰、雲端憑證、CI/CD 密碼、AI 工具權杖、瀏覽器密碼，以及 LiteLLM proxy 資料庫中的 LLM 供應商金鑰。它會加密這些資料，並傳送至 www.litellm[.]dev。
2. sitecustomize.py 會啟動背景守護程序。守護程序每小時會從 GitHub 檔案讀取伺服器位址、再次執行竊取程式，並從該伺服器下載及執行程式碼。

植入程式如何進入發布版本

1.107.0 原始碼發佈檔（sdist）中的 pyproject.toml，在 maturin 建置區段多了一行：

pyproject.toml (litellm-1.107.0.tar.gz)

TOML 6 行

maturin data = "cook" 設定會將 cook/ 資料夾複製到 wheel 檔中的 litellm-1.107.0.data/purelib/。pip 會將該資料夾安裝至 site-packages。

sdist 沒有包含 cook/ 資料夾，因此這一行是唯一可見的變更。BerriAI/litellm 中沒有任何公開提交包含 data = "cook" 或 cook/ 資料夾。

wheel 檔 RECORD 列出新增的三個檔案：

litellm-1.107.0.dist-info/RECORD

文字 4 行

發布版本與其標籤不符

標籤 v1.107.0 指向提交 66c8f5b（06:59 UTC）。其中的 pyproject.toml 寫明 version = "1.108.0"。SafeDep 以 blob 雜湊值比對 sdist 中的每個檔案與 Git 樹。sdist 與較後的 main 提交 a8113b0（08:50 UTC）相符，另外還包含五個經修改的檔案和 cook/ 資料夾。

四個經修改的檔案是 Cargo.toml 檔案，各自多了一行 readme = "README.md"。正式的 1.106.2 和 rc2 發布版本也有相同修改。第五個檔案是 pyproject.toml，以下與 a8113b0 比較：

pyproject.toml (a8113b0 → litellm-1.107.0.tar.gz)

差異 11 行

這項修改將版本改回 1.107.0，並將配套套件鎖定至 rc2 的版本。因此，與 rc2 比較依賴項差異時，看不出任何異常。正式的 1.106.2 sdist 與其標籤所指向的提交 49943cd 相符，只有 Cargo.toml readme 行有所不同。

wheel 檔的建置方式

惡意 wheel 檔與 BerriAI 正常發布流程產生的輸出相符：

• WHEEL 檔案將 maturin 的版本列為 1.9.4，與正式發布版本相同。植入檔案的 RECORD 項目正確，顯示它們在建置後未經修改。
• ZIP 時間戳記顯示曾分別進行原生建置：macOS 於 11:20、Linux 於 11:21，而 Windows 於 11:37 UTC。
• Windows wheel 檔中的 2,804 個 .py 檔案都使用 CRLF 行尾，包括三個植入檔案。Linux wheel 檔則沒有。在 Windows 上進行 git checkout 並轉換行尾，便會產生這種情況。

沒有任何公開的 GitHub Actions 執行記錄曾建置或發布這個版本。SafeDep 檢查了 09:30 至 12:30 UTC 之間的全部 539 次執行記錄。11:50 UTC，即 PyPI 上載後約 10 分鐘，litellm-dispatcher[bot] 發布了 GitHub 版本 v1.107.0。1.106.2 也出現相同延遲。PyPI 上的 1.107.0、1.106.2 或 rc2 均沒有來源證明聲明。

SafeDep 有中等至高度信心評估，認為 BerriAI 的私有發布管線是以遭攻擊者修改的 Git 原始碼建置這些 wheel 檔。攻擊者可能使用遭入侵的維護者或機械人憑證、私有分支或鏡像，亦可能利用管線建置所依據的參照。相比之下，攻擊者在自己的電腦上使用遭竊的 PyPI 權杖，與現有證據較不吻合。只有 BerriAI 的管線記錄才能確認原因。

Payload 1：cook.py 中的憑證竊取程式

Python 啟動時，會在 site-packages 中的 .pth 檔案內，執行每一行以 import 開頭的程式碼。cook.pth 包含 import cook，因此竊取程式會在主機上的每個 Python 程序中執行：包括應用程式、pip、IDE 語言伺服器和 CI 工作。

cook.py 以一層 exec(zlib.decompress(base64.b64decode('...'))) 封裝約 61 KB 的 Python 程式碼。解碼後的程式碼以以下設定開頭：

cook.py（已解碼）

PYTHON 10 行

收集的資料

如何傳送資料

1. 程式會使用隨機 AES-256-CBC 金鑰加密 JSON 結果，再以內嵌的公鑰透過 RSA-OAEP 加密該金鑰。
2. 程式會將結果打包成 tar.gz（hdr.json、data.bin、key.bin），並在 POST 要求中傳送至 www.litellm[.]dev/healthcheck，同時附上標頭 X-Token: XWiA8gZNa7NcX2XRoAEb。
3. 上載成功後，程式會寫入 /tmp/.pc_once_72129118c59f5636c0bb，令每台主機只收集一次。程式亦會設定 PRIVCOLLECT_ACTIVE=1，避免在同一程序樹中再次執行。

Payload 2：sitecustomize.py 中的後門

Python 啟動時會匯入 sitecustomize，因此這個檔案也會在每個 Python 程序中執行。

sitecustomize.py

PYTHON 5 行

1. 程式會鎖定 /tmp/remote_code_loader.lock，確保每台主機只會有一個守護程序執行。
2. 程式會呼叫 fork() 和 setsid()，將標準輸入和輸出重新導向至 /dev/null，並切換至 / 目錄，以脱離父程序。
3. Every hour, it:
   1. 從攻擊者的 GitHub 儲存庫讀取 domain.txt，並取出第一行看起來像網域的內容，
   2. 執行內嵌的竊取程式副本；該副本沒有每台主機只執行一次的標記，
   3. 下載 http://<domain>/codepy，並使用 exec() 執行。

攻擊者可透過編輯 domain.txt，將守護程序指向新的伺服器。每台受感染的主機都會將伺服器以 codepy 傳回的任何內容執行。

13:40 UTC，GitHub 帳戶 letters9813 及其儲存庫回傳 404，時間約為發布後兩小時。後門現時找不到伺服器位址，因此不會執行任何操作。在刪除前已執行守護程序的主機，可能已接收並執行第二階段程式碼。SafeDep 未能還原伺服器位址。

時間線

所有時間均為 UTC，日期為 2026-10-21。

入侵指標

網絡

主機

檔案雜湊值（SHA-256）

由於 CRLF 換行符號，植入的檔案在 Windows 上的雜湊值不同：

• pypi
• python
• malware
• supply-chain
• litellm

作者

最新消息來自 SafeDep 部落格

追蹤以掌握開源安全與工程領域的最新動態及見解

發佈程式碼。

不是惡意軟件。

在你的電腦上免費開始使用開源工具。再擴展至供整個機構使用的統一平台。