Cảnh báo: Thư viện LiteLLM bị tấn công chuỗi cung ứng, phát tán mã độc đánh cắp thông tin

• Sự cố nghiêm trọng: Phiên bản LiteLLM 1.107.0 trên PyPI đã bị xâm nhập, phát tán mã độc đánh cắp thông tin (infostealer) và trojan truy cập từ xa (RAT).
• Cơ chế tấn công: Sử dụng kỹ thuật Python startup hooks để thực thi mã độc ngay khi môi trường Python khởi động, không cần gọi trực tiếp thư viện.
• Phạm vi ảnh hưởng: Đánh cắp khóa SSH, thông tin xác thực đám mây (AWS, GCP, Azure), mật khẩu trình duyệt và token của các công cụ AI như GitHub Copilot.
• Khuyến nghị: Kiểm tra ngay các tệp tin khởi động Python, xoay vòng toàn bộ khóa bí mật và kiểm tra các container image đã triển khai.

Vào ngày 21 tháng 10 năm 2026, cộng đồng an ninh mạng đã ghi nhận một vụ tấn công chuỗi cung ứng nghiêm trọng nhắm vào thư viện LiteLLM. Phiên bản 1.107.0 được phát hành trên PyPI đã bị kẻ tấn công can thiệp, chèn mã độc vào tất cả bảy tệp tin wheel được phân phối. Sự cố này không chỉ ảnh hưởng đến các môi trường phát triển cục bộ mà còn lan rộng sang các Docker image, gây rủi ro lớn cho các hệ thống CI/CD và dịch vụ AI.

Phân tích cơ chế thực thi mã độc

Theo phân tích kỹ thuật từ các nhà nghiên cứu bảo mật, cuộc tấn công này không dựa vào việc người dùng gọi hàm từ thư viện LiteLLM mà tận dụng cơ chế khởi động của Python. Khi cài đặt gói bị nhiễm, ba tệp tin độc hại sẽ được đặt trực tiếp vào thư mục site-packages của Python:

• cook.pth: Tệp tin cấu hình khởi động, tự động import cook.py khi Python bắt đầu chạy.
• cook.py: Chứa mã nguồn đã được làm rối (obfuscated), chịu trách nhiệm giải mã và kích hoạt quy trình đánh cắp thông tin.
• sitecustomize.py: Tệp tin bổ sung được sử dụng để thiết lập đường dẫn tải mã độc từ xa trên các hệ điều hành Linux và macOS.

Cơ chế này cực kỳ nguy hiểm vì bất kỳ lệnh Python nào được thực thi trong môi trường bị nhiễm đều có thể kích hoạt payload, ngay cả khi người dùng không hề sử dụng LiteLLM. Mã độc sẽ quét hệ thống để tìm kiếm các tệp tin nhạy cảm, dữ liệu trình duyệt và thông tin xác thực của các dịch vụ đám mây.

Bảng tổng hợp các thực thể liên quan đến mã độc

Chiến lược săn tìm và ứng phó sự cố

Các đội ngũ vận hành hệ thống (DevOps/SecOps) cần thực hiện ngay các bước kiểm tra để xác định phạm vi ảnh hưởng. Việc chỉ gỡ bỏ gói LiteLLM 1.107.0 là không đủ, vì các tệp tin độc hại đã được cài đặt vào hệ thống và các thông tin xác thực có thể đã bị đánh cắp trước đó.

⚠️ Cảnh báo quan trọng: Mọi thông tin xác thực (credentials) từng tồn tại trên các máy chủ hoặc container đã cài đặt LiteLLM 1.107.0 phải được coi là đã bị lộ. Hãy thực hiện quy trình xoay vòng (rotate) toàn bộ khóa API, SSH keys và token ngay lập tức.

Các bước thực hiện ứng phó sự cố bao gồm:

• Cách ly hệ thống: Ngắt kết nối các máy chủ hoặc build runners đã cài đặt phiên bản 1.107.0 khỏi mạng nội bộ.
• Kiểm tra tệp tin: Tìm kiếm sự hiện diện của các tệp cook.pth, cook.py và sitecustomize.py trong thư mục site-packages của môi trường Python.
• Phân tích nhật ký: Kiểm tra các kết nối outbound bất thường đến các tên miền lạ hoặc các yêu cầu HTTP POST đến www[.]litellm[.]dev.
• Xây dựng lại môi trường: Sử dụng các phiên bản an toàn (như 1.106.2) và ưu tiên sử dụng image digest thay vì các tag động như latest để tránh bị tấn công trong tương lai.

Sự cố này một lần nữa nhấn mạnh tầm quan trọng của việc kiểm soát chuỗi cung ứng phần mềm. Việc sử dụng các công cụ quét lỗ hổng tự động và kiểm tra tính toàn vẹn của các gói thư viện trước khi đưa vào môi trường sản xuất là yêu cầu bắt buộc đối với mọi tổ chức phát triển phần mềm hiện nay.