Kybernetický útok z letošního března může mít podstatně větší následky, než se původně předpokládalo. Bezpečnostní společnost CloudSEK nyní odhaduje, že útok na open-source knihovnu LiteLLM mohl potenciálně zasáhnout více než 2500 organizací a přibližně 434 000 CI/CD pipeline. Nejde přitom o klasický útok na jednu konkrétní firmu. Hackeři zneužili dodavatelský řetězec softwaru, díky čemuž se mohli dostat mnohem dál.
LiteLLM je open-source nástroj používaný pro práci s různými AI modely a jejich API. Útočníci podle CloudSEK nejprve kompromitovali bezpečnostní nástroj Trivy a následně se přes něj dostali do procesu sestavování LiteLLM. Výsledkem bylo vydání škodlivých verzí 1.82.7 a 1.82.8 do repozitáře PyPI.
Mohlo by vás zajímat
Největší problém spočíval v tom, co škodlivý kód následně dělal. Po instalaci se prostřednictvím souboru .pth automaticky spouštěl při startu Pythonu a pokoušel se z napadeného prostředí získat citlivé informace. Útočníci mohli narazit například na SSH klíče, přihlašovací údaje ke cloudovým službám AWS, Google Cloud a Azure, Kubernetes tokeny, CI/CD secrets nebo API klíče k AI službám. Zajímavé je, že samotné škodlivé balíčky byly podle CloudSEK dostupné jen přibližně 40 minut. To ale rozhodně neznamená, že po jejich odstranění bylo po problému. Jakmile totiž malware získal přístupové údaje, útočníci je mohli používat ještě dlouho poté. CloudSEK proto upozorňuje, že odstranění kompromitovaného balíčku samo o sobě incident neřeší.
A rozsah potenciálně zasažených firem je opravdu zajímavý. V seznamu organizací s vysokou mírou shody se objevují například AWS, Samsung, Cisco, Salesforce, ServiceNow, Siemens, Volkswagen, Deloitte, Epic Games nebo Vodafone. Důležité však je, že samotné zařazení do databáze neznamená potvrzení úspěšného napadení. CloudSEK výslovně uvádí, že jde o potenciální vystavení riziku, které musí jednotlivé organizace samy ověřit.
Mohlo by vás zajímat
Právě v tom je celý útok poměrně děsivý. Kompromitovaná knihovna totiž nemusela být používána přímo na produkčním serveru. Stačilo, aby se dostala do vývojového nebo automatizovaného CI/CD prostředí, kde mohla mít přístup k celé řadě dalších systémů. Získané údaje pak mohly potenciálně otevřít cestu do cloudových účtů, repozitářů, registrů, Kubernetes clusterů nebo právě AI služeb. CloudSEK proto upozorňuje, že organizace, které mohly být zasaženy, by měly především prověřit používání verzí LiteLLM 1.82.7 a 1.82.8, izolovat potenciálně napadená prostředí a změnit všechny přístupové údaje, ke kterým mohl mít kompromitovaný proces přístup.
Celý případ navíc ukazuje na stále větší problém. AI infrastruktura se stává atraktivním cílem útočníků, protože bývá napojená nejen na samotné AI modely, ale také na cloudové služby, databáze, interní nástroje a citlivá data. Jeden napadený open-source komponent tak může v krajním případě představovat vstupní bránu do podstatně větší části firemní infrastruktury.
