LiteLLM 1.107.0 リリースにおけるマルウェア混入事象

2026 年 10 月 21 日発行 • 約 6 分読み

PyPI で公開された

litellm

litellm

被害概要

• 被害ファイル: Linux、macOS、Windows 向けに用意された7 つのホイール（wheel）パッケージすべてに、認証情報窃取器とバックドアが含まれていました。システム上の

  site-packages

  ディレクトリ内に 3 つのファイルとして展開されます。
• 影響範囲: PyPI よりもファイルを削除していますが、既にこのバージョンをインストールしているすべてのシステムは現在も危険な状態にあり、継続的な脅威にさらされています。
• 安全なバージョン:以下のバージョンおよび対応するコンパニオンパッケージはマルウェアから無事に守られています。

  • litellm==1.106.2

  • litellm==1.107.0rc1

  • litellm==1.107.0rc2

  • litellm-proxy-extras==0.4.110

  • litellm-enterprise==0.1.78

攻撃の実行メカニズム (What the attack does)

litellm==1.107.0

site-packages

1. cook.pth（認証情報窃取器）

• 動作: このファイルは

  cook.py

  をインポートします。
• 機能: SSH キー、クラウド認証情報、CI/CD シークレット、AI ツールのトークン、ブラウザのパスワード、LLM プロバイダーキーなどの機密情報を収集し、LiteLLM Proxy のデータベースに保存（暗号化）した後、

  www.litellm[.]dev

  へ送信します。
  • 影響: すべての Python プロセス（アプリケーション、

    pip

    、IDE ランタイムサーバー、CI ジョブなど）が実行対象となります。

2. sitecustomize.py（バックドア）

• 動作: バックグラウンドでデーモンプロセスを起動します。
• 機能: 1 時間ごとに攻撃者の GitHub リポジトリからサーバーアドレスを読み取り、再び窃取器を実行して、そこから遠隔コードをダウンロードして実行します（RCE）。

マルウェア混入の経緯 (How the implant got into the release)

ビルドプロセスにおける改ざん

バージョン 1.107.0 のソースディストリビューション（sdist）に含まれる

pyproject.toml

• 変更箇所:

  pyproject.toml

  (

  litellm-1.107.0.tar.gz

  ) の

  [tool.maturin]

  セクションに

  data = "cook"

  が追加されました。
• 結果: マチュリン（Maturin）のビルドプロセスにより、本来は含まれていない**

  cook/

  フォルダ**がホイールパッケージ内にコピーされます。

  pip install

  時にこれが

  site-packages

  に展開され、マルウェアとして動作を開始します。

タグとの不一致 (The release does not match its tag)

• タグ v1.107.0: このタグはコミット

  66c8f5b

  を指していますが、

  pyproject.toml

  内で設定されているバージョン番号は

  "1.108.0"

  とされていました。
• 実際のソースコード: SafeDep はすべての sdist ファイルと Git ツリーをブロッブ（blob）ハッシュで照合しました。結果として確認されたのは、より後のメインブランチのコミット

  a8113b0

  および 5 つの修正ファイル、そして攻撃用のフォルダ

  cook/

  を含んだものでした。
• 変更内容の詳細:
  • 4 つの変更点は

    Cargo.toml

    で

    readme = "README.md"

    の行を追加するものであり、これは正当な 1.106.2 や rc2 リリースでも同様に含まれています。
  • 5 つ目の変更点は

    pyproject.toml

    です。バージョンを

    1.107.0

    に修正し、コンパニオンパッケージの依存関係を rc2 バージョンに固定する変更を含んでいました。このため、rc2 に対する依存関係の差分が異常に見えないようになり、改ざんが見逃されました。

ホイールの構築と公開 (How the wheels were built)

攻撃ホイールの特徴

• ビルドパイプライン: 悪意のあるホイールは、通常の BerriAI のリリースパイプラインから出力されたものと同様です（

  WHEEL

  ファイルに maturin 1.9.4 が指定されている）。インプラントファイルの RECORD エントリーも正常であり、ビルド後の編集痕跡はありませんでした。
• タイムスタンプ: 圧縮ファイルのタイムスタンプは、macOS で UTC 11:20、Linux で 11:21、Windows で 11:37 と異なる時刻を示しており、各プラットフォームで独立して構築されたことを示唆しています。
• 改ざんの痕跡: Windows ホイール内のすべての

  .py

  ファイル（インプラントファイルを含む）にCRLFの行終端記号が含まれていますが、Linux ホイールにはありません。これは Git チェックアウト後に行終端を Windows 形式に変換した結果であることを示します。

公開プロセスの異常

• GitHub Actions の実行記録: 公衆向けの GitHub Actions ログを確認したところ、このリリースをビルドまたは公開する動作は確認できませんでした（09:30 〜 12:30 UTC の間に行われたすべての実行をチェック済み）。
• 公開までの遅延: PyPI へのアップロードは約 11:39 UTC に行われましたが、GitHub リリースの公開（

  litellm-dispatcher[bot]

  ）は 11:50 UTC（約 10 分後）でした。
• プロベナンス（追跡可能性）の欠如: PyPI に登録されている 1.107.0、1.106.2、rc2 のいずれにも、ビルダーの情報やソースコードのハッシュ値などを示すプロベナンスアテステーションが存在しません。

推定される原因

SafeDep は、BerriAI のプライベートリリースパイプラインが、攻撃者が改ざんした Git ソースコードからホイールを構築したと、中程度の確信度で評価しています。

• 可能性: 侵害されたメンテナまたはボットの認証情報、あるいは攻撃者が所有するプライベートブランチやミラー、ビルドの参照先などが悪用された可能性があります。
• 結論: 攻撃者のマシンから流出した PyPI トークンが原因である可能性は低いです。確定するためには、BerriAI の内部パイプラインログの確認が必要です。

ペイロード詳細

ペイロード 1: 認証情報窃取器 (

cook.py

)

Python が起動すると、

site-packages

.pth

cook.pth

import cook

収集対象データ

コードは約 61 KB の Python スクリプトを、

exec(zlib.decompress(base64.b64decode('...')))

• システム情報: ホスト名、ユーザー、OS、IP アドレス、ネットワーク設定 (

  sysinfo

  ,

  netinfo

  )
• ブラウザデータ: クロム保存パスワード（Windows DPAPI で復号化）、Firefox ログイン、ブラウザ履歴
• SSH キー:

  ~/.ssh/*

  内の全てのキー
• シェル履歴: Bash/zsh の履歴、PowerShell PSReadLine、cmd 履歴
• クラウド認証: AWS credentials/config、Azure profile/tokens、gcloud、kubernetes config、docker config、gh hosts.yml、rclone.conf、.netrc、pem/pfx/keystore ファイル
• 開発者シークレット: Kubernetes SA トークン、GitLab Runner 設定、Jenkins master.key/.vault-token、Terraform/Packer/CircleCI 設定
• AI ツールトークン: Claude Code/Desktop/Cursor/Windsurf/Copilot/VS Code mcp.json/Gemini CLI/Codex/Continue/Aider/Goose/opencode/Qwen/Crush/Kiro/Zed/HF token など
• 環境変数: 自身および他のプロセスの環境変数
• データベース:

  DATABASE_URL

  の読み取り、LLM プロバイダー API キーを保持するテーブルのダンプ
• メタデータ: AWS IMDSv2/v1（インスタンスアイデンティティ/ロール）、GPG キー、TLS 秘密鍵

データ送信方法

1. 収集した JSON データはランダムに生成されたAES-256-CBC キーで暗号化されます。
2. そのキーは埋め込まれたRSA-OAEP パブリックキーで再暗号化されます。
3. 結果は

   tar.gz

   (

   hdr.json

   ,

   data.bin

   ,

   key.bin

   ) に圧縮され、ヘッダー

   X-Token: XWiA8gZNa7NcX2XRoAEb

   を追加して、

   www.litellm[.]dev/healthcheck

   へ POST リクエストで送信されます。
4. 成功後は

   /tmp/.pc_once_...

   というファイルを書き出して、そのホストでは1 回ずつのみ収集を行うように制御します（環境変数

   PRIVCOLLECT_ACTIVE=1

   も設定）。

ペイロード 2: バックドア (

sitecustomize.py

)

Python が起動すると

sitecustomize

• ロック処理:

  /tmp/remote_code_loader.lock

  ファイルに対して排他ロックを取得し、ホストごとに 1 つだけのデーモンを実行します。
• プロセス分離:

  fork()

  と

  setid()

  を呼び出し、標準入出力を

  /dev/null

  に送って作業ディレクトリを

  /

  に変更することで、親プロセスから独立して動作（ダッチ）します。

毎時の動作 (バックドアループ)

1. 攻撃者の GitHub リポジトリ (

   domain.txt

   ) からドメイン名を読み取ります。
2. 読み取ったアドレスから窃取器のコピー（ホスト単一制御マーカーなし）を実行します。

3. http://<domain>/codepy

   をダウンロードして実行 (

   exec()

   ) し、遠隔コードをインストール・実行します。

攻撃者は

domain.txt

• 現在の状況: GitHub アカウント

  letters9813

  のリポジトリ（

  pythonclient-test

  ）はリリースから約 2 時間後（13:40 UTC）に 404 エラーを返し、アカウントも削除されました。バックドアは現在サーバーアドレスを特定できず不活化していますが、以前実行されたホストでは二次的なコードが実行された可能性があります。

タイムライン (Timeline)

すべては 2026 年 10 月 21 日 UTC です。

66c8f5b

a8113b0

litellm-dispatcher[bot]

letters9813

侵害指示子 (Indicators of compromise)

ネットワーク関連

• www.litellm[.]dev: 盗まれたデータを格納するサーバー。
  • URL:

    http://www.litellm[.]dev/healthcheck

  • ヘッダー:

    X-Token: XWiA8gZNa7NcX2XRoAEb

• raw.githubusercontent[.]com/letters9813/pythonclient-test/main/domain.txt: バックドアがサーバーアドレスを読み取る場所（アカウント削除済み）。
• hxxp:///codepy: 第二段階の悪意あるコードのダウンロード先。
• 169.254.169.254: Python プロセスからの AWS インスタンス認証情報の窃取対象（メタデータサービス）。

ホスト関連

• cook.pth, cook.py, sitecustomize.py (

  site-packages

  ): インプラント（マルウェア）ファイル。
• /tmp/.pc_once_72129118c59f5636c0bb: データをアップロード済みであることを示すフラグファイル。
• /tmp/remote_code_loader.lock: バックドアデーモンが実行された証拠。
• PRIVCOLLECT_ACTIVE=1: インフェクトされたプロセスの環境変数。
• 親 PID 1、独自のセッション、作業ディレクトリ / の Python デーモン: バックドアループの動作パターンを示す特徴。

ファイルハッシュ (SHA-256)

マチュリンで構築された攻撃ホイールのハッシュ値です（Windows ホイールは CRLF ラインエンドのため異なるハッシュ値を持ちます）。

litellm-1.107.0.tar.gz

2befe2a79fb4fbbd9a543b5b40b530c8cffa8771bab22b8fb22b2e4ae3b1f819

litellm-1.107.0-cp310-abi3-manylinux_2_28_x86_64.whl

462d0c9f67ca522d9e0e4acd245e90b36ce0d5353604a66bb7c43a1ec4a6fcf7

litellm-1.107.0-cp310-abi3-manylinux_2_28_aarch64.whl

668169d35b87bf51324080390b1b1c5ab12bd335cfe5f1a99e3689abd5e02ae6

litellm-1.107.0-cp310-abi3-musllinux_1_2_x86_64.whl

1bbce8caa94f01c0aaa0b7ddae51553a8a32e1ce53d96d44fe583272aff7ad00

litellm-1.107.0-cp310-abi3-musllinux_1_2_aarch64.whl

c2e32d0ce2548aa662c18bf5001911a79fe5b30cf8357132275add02fdcde054

litellm-1.107.0-cp310-abi3-macosx_10_12_x86_64.whl

7598727f209d717041db37f7dca271d3a7d328a279890e0e1d55375729aeb86d

litellm-1.107.0-cp310-abi3-macosx_11_0_arm64.whl

0aaf7ba346d41ef2f40390436738b001180d5a1c03aa093f121078a9969d9a1a

litellm-1.107.0-cp310-abi3-win_amd64.whl

12d4ccc5c6f8d35cf4f2cf233b7f3e418e863e657d81ff5f5fc9e210005b9484

インプラントファイルのハッシュ値 (Linux/macOS vs Windows) 注：Windows 版では CRLF ラインエンドによりハッシュ値が異なります。

cook.pth

7f191632e7320705d154b85204f1ae546b543acbd7e8861229b76f5042b92bdb84dc8c8

2c0a4a4a62552ef826b49fcc86d1a5c4a5d0f2c06665723f93d129d7d

cook.py

9dd0a3926f96a37eb86cf1ee2310d9be93139cc4ebef3ef9e2efe9531390be2503ac

2a8b752605d1d7710979c17ff18b03dd978203ba23ba97fd8ce3d6f897ea

sitecustomize.py

34bef04fe88ac9d0aae0475630b1738681d15b94f233ac8aa46eacf5968305fab

6122440d0d9cb1eb1ade9933f49214da8c31288de7710c076c2680dfa528465

本レポートは SafeDep による調査結果に基づいています。