Pipeline de lançamento do LiteLLM é invadido para distribuir infostealer via PyPI e Docker
Um ator de ameaça comprometeu o pipeline de release do projeto LiteLLM em 21 de outubro de 2026 e publicou a versão 1.107.0 com malware infostealer embutido, distribuído simultaneamente via PyPI, Docker Hub e GHCR. O malware coleta credenciais de nuvem, segredos de CI/CD, dados de navegador e variáveis de ambiente das máquinas infectadas.
O incidente atinge a cadeia de suprimentos de software: em vez de atacar diretamente usuários finais, o invasor comprometeu a infraestrutura de build/release de um projeto open source amplamente usado como gateway para múltiplos provedores de LLM, inserindo um binário malicioso dentro da versão oficial 1.107.0. Como a distribuição ocorreu pelos canais legítimos (pacote PyPI, imagens Docker com tags 'latest' e 'main-stable', e registro GHCR), qualquer instalação ou atualização automática nesse período baixou o malware acreditando se tratar de software confiável — o padrão clássico de ataque à cadeia de suprimentos.
Por dentro, o malware funciona como um infostealer de amplo espectro: ele varre a máquina infectada em busca de credenciais de provedores de nuvem (AWS, Azure, GCP, Kubernetes, Docker), chaves de API de serviços de IA, segredos de desenvolvimento (tokens de Git, GitHub, npm, PyPI, variáveis de CI/CD), além de logins, cookies e histórico salvos no navegador. Esse tipo de coleta é exatamente o insumo usado depois para fraude em cadeia: credenciais de nuvem e CI/CD roubadas viabilizam novos ataques à cadeia de suprimentos, e credenciais de navegador/e-mail alimentam account takeover e fraude financeira a jusante.
A gravidade é alta porque o alvo são ambientes de desenvolvimento e produção — máquinas que tipicamente concentram segredos de alto valor (chaves de nuvem, tokens de deploy) muito mais lucrativos para o atacante do que credenciais de um usuário comum.
Para quem usou o LiteLLM nesse intervalo, a resposta recomendada é tratar qualquer máquina que tenha instalado a versão 1.107.0 como comprometida: isolar e reconstruir o sistema a partir de backup limpo em vez de apenas desinstalar o pacote, rotacionar imediatamente todos os segredos e chaves que possam ter estado expostos na máquina (nuvem, Git, CI/CD, API de IA), evitar executar o interpretador Python nela até a limpeza, e fazer downgrade para a versão 1.106.2, a última confirmada como íntegra antes do ataque.