حمله به زنجیره تأمین LiteLLM؛ افشای کلید اصلی در GitHub راه نفوذ هکرها را باز کرد

تیم توسعه ابزار LiteLLM اعلام کرد که حمله اخیر به زنجیره تأمین این سرویس، از یک کلید دسترسی اصلی (Master Key) آغاز شده که در اردیبهشت‌ماه امسال به شکلی تصادفی در یک مخزن عمومی پلتفرم GitHub قرار گرفته بود.

ماجرای سرقت اطلاعات محرمانه سرویس‌های ابری و مدل‌های هوش مصنوعی زمانی آغاز شد که فرد یا گروهی ناشناس، نسخه‌ای آلوده با شماره ۱.۱۰۷.۰ از این درگاه متن‌باز و محبوب هوش مصنوعی را در مخزن پکیج‌های پایتون (PyPI) و رجیستری‌های کانتینری بارگذاری کردند. این نسخه دست‌کاری‌شده حاوی یک بدافزار سرقت اطلاعات (Infostealer) و یک تروجان دسترسی از راه دور بود که امکان اجرای کدهای مخرب دلخواه را روی سیستم‌های قربانی فراهم می‌کرد.

بر اساس گزارش شرکت امنیتی Wiz، هرچند این پکیج آلوده به تروجان کمتر از دو ساعت روی PyPI در دسترس بود و سپس قرنطینه شد، اما در همین مدت زمان کوتاه نزدیک به ۴۹ هزار بار دانلود شد.

تیم LiteLLM در گزارشی تفصیلی، زنجیره این حمله را تشریح کرد و مشخص شد مبدأ آن به تاریخ ۲۷ مه (۷ خرداد) بازمی‌گردد؛ زمانی که یک فایل پیکربندی حاوی کلید اصلی در مخزن عمومی LiteLLM-Labs/lite-harness بارگذاری شد. این کلید متعلق به یک ابزار متن‌باز داخلی بود که LiteLLM از آن برای هماهنگ‌سازی و مدیریت ایجنت‌های هوش مصنوعی استفاده می‌کرد. توسعه‌دهندگان پروژه در آن زمان خیلی زود متوجه این اشتباه شدند و کامیتِ حاوی کلید را حذف کردند، اما متأسفانه هرگز این کلید اصلی را در سیستم باطل (Revoke) نکردند.

بر اساس گزارش کالبدشکافی امنیتی این حادثه: «در تاریخ ۱۰ اکتبر، مهاجم با بهره‌گیری از همین کلید توانست به پلتفرم LiteLLM Agent دسترسی پیدا کرده و توکن احراز هویت GitHub CLI OAuth را استخراج کند. از همان لحظه به بعد، عامل تهدید به تمام مخازن سازمانی ما در GitHub دسترسی در سطح مالک (Owner-level) به دست آورد.»

این اتفاق از آن جهت فوق‌العاده حساس و پرخطر بود که توکن‌های ابزار خط فرمان گیت‌هاب (GitHub CLI) در وضعیت پس از احراز هویت دومرحله‌ای (Post-2FA) قرار دارند؛ به این معنا که هنگام انجام اقدامات حساس در مخازن، نیازی به تأیید مجدد در حالت امنیتی ویژه (Sudo Mode) گیت‌هاب ندارند و موانع امنیتی را دور می‌زنند.

این دسترسی به مهاجم اجازه داد کامیت‌های مخربی را در شاخه‌های سایر مخازن داخلی ثبت کند؛ از جمله ایجاد فرآیندهای خودکاری که برای سرقت توکن‌ها و اطلاعات محرمانه فعال در خطوط ادغام مداوم (CI) طراحی شده بودند. در نتیجه این اقدام، هکرها موفق شدند توکن‌های دسترسی دو مهندس دیگر را که مجوزهای مدیریتی (Maintainer) داشتند نیز به سرقت ببرند.

علاوه بر این، مهاجم به توکن‌های چندین سیستم داخلی دیگر نیز دست یافت. تیم LiteLLM در این باره توضیح می‌دهد: «بررسی ردپای مهاجم در سایر سامانه‌ها نشان می‌دهد که او در تلاش برای شناسایی و استخراج کلیدها و توکن‌های دیگر بوده و تمرکز اصلی خود را روی توکن‌های API استنتاج مدل‌های بالادستی معطوف کرده است.»

مهاجم پس از تصاحب این هویت‌های دارای دسترسی بالا، تغییرات دلخواه خود را بدون برانگیختن کوچک‌ترین سوءظنی در مخازن GitHub اعمال کرد؛ چراکه از دید سامانه‌های امنیتی، تمامی اقدامات و تأییدیه‌ها از سوی مهندسان معتبر و دارای مجوز پروژه انجام می‌شد.

تیم توسعه‌دهنده LiteLLM در واکنش به این رخداد، تمامی توکن‌های مربوط به سیستم‌های داخلی و پلتفرم‌های ارائه‌دهنده خدمات را به‌طور کامل باطل کرد. آن‌ها در بیانیه خود تأکید کردند: «این رویداد هشداری جدی و نمادی آشکار از خطرات ناشی از باطل نکردن یا تعویض نکردن کلیدهای افشاشده است.»

بدافزار مخفی‌شده در این پکیج آلوده به شکلی طراحی شده بود که انبوهی از اطلاعات حساس قربانیان را جمع‌آوری و تخلیه کند؛ از جمله داده‌های ورود به حساب کاربری و کوکی‌های مرورگرهای Chrome، Firefox، Edge و Safari، در کنار اطلاعات ورود به حساب‌های آمازون (AWS)، کلیدهای سرویس و حساب‌های ابری گوگل (Google Cloud Platform) و توکن‌های پلتفرم ابری مایکروسافت (Microsoft Azure). این بدافزار همچنین کلیدهای API شرکت‌های هوش مصنوعی نظیر OpenAI، Anthropic، Cohere و سایر ارائه‌دهندگان مدل‌های زبانی بزرگ را سرقت می‌کرد.

بنابراین، اگر نسخه ۱.۱۰۷.۰ این ابزار را نصب و اجرا کرده‌اید، باید فرض را بر این بگذارید که تمامی اطلاعات هویتی و کلیدهای دسترسی موجود در آن سیستم به سرقت رفته است. در نتیجه ضروری است فوراً سیستم‌های تحت تأثیر را بررسی کنید، رمزهای عبور را تغییر دهید و تمامی کلیدهای دسترسی حساس را باطل کرده و کلیدهای جدید جایگزین نمایید.