# LiteLLM-Supply-Chain-Angriff kompromittiert PyPI-Pakete und Docker-Register, um Geheimnisse zu sammeln

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/de/article/litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morn-de
Section: Software (https://technewslist.com/de/software)
Author: TechNewsList
Language: de
Published: 2026-10-22T05:59:59.276+00:00
Updated: 2026-10-22T05:59:59.462798+00:00

> Sicherheitsforscher entdecken einen böswilligen Supply-Chain-Exploit in der LiteLLM-Version 1.107.0, bei dem Lookalike-Repository-Hijacking Hintertüren eingebaut hat, um API-Tokens zu ernten.

## TL;DR
- Sicherheitsforscher haben eine bösartige Hintertür identifiziert, die in LiteLLM Release 1.107.0 auf PyPI und offiziellen Docker Hub-Registern eingebaut ist.
- Der kompromittierte Code löste beim Import das Scrapen von Umgebungsvariablen, AWS-Schlüsseln und Modellanbieter-Anmeldeinformationen aus.
- Die Angreifer nutzten einen ähnlichen Repository-Namen der Organisation, um den automatisierten Release-Workflow des Projekts zu fälschen.
- Die Python Package Index-Administratoren gingen schnell vor, um die infizierte Version unter Quarantäne zu stellen und die Anmeldeinformationen des Herausgebers zu widerrufen.
- Organisationen, die betroffene Versionen verwenden, wurde empfohlen, alle API-Schlüssel sofort zu rotieren und den ausgehenden Netzwerkverkehr zu prüfen.

## Key points
- Sicherheitsforscher haben eine bösartige Hintertür identifiziert, die in LiteLLM Release 1.107.0 auf PyPI und offiziellen Docker Hub-Registern eingebaut ist.
- Der kompromittierte Code löste beim Import das Scrapen von Umgebungsvariablen, AWS-Schlüsseln und Modellanbieter-Anmeldeinformationen aus.
- Die Angreifer nutzten einen ähnlichen Repository-Namen der Organisation, um den automatisierten Release-Workflow des Projekts zu fälschen.
- Die Python Package Index-Administratoren gingen schnell vor, um die infizierte Version unter Quarantäne zu stellen und die Anmeldeinformationen des Herausgebers zu widerrufen.
- Organisationen, die betroffene Versionen verwenden, wurde empfohlen, alle API-Schlüssel sofort zu rotieren und den ausgehenden Netzwerkverkehr zu prüfen.

## Was passiert ist

Am 21. und 22. Oktober 2026 haben Cybersicherheitsbedrohungsforscher von Socket und unabhängige Software-Sicherheitsteams einen raffinierten Supply-Chain-Angriff offengelegt, der erfolgreich offizielle Release-Pakete von LiteLLM kompromittiert hat, einer weit verbreiteten Open-Source-Bibliothek, die eine einheitliche API-Abstraktion über mehrere große Sprachmodellanbieter hinweg bietet. Die bösartige Nutzlast wurde direkt in LiteLLM Version 1.107.0 eingebettet und sowohl über den Python Package Index (PyPI) als auch über die offiziellen Docker Hub-Containerregister verteilt.

Die forensische Analyse ergab, dass Bedrohungsakteure automatisierte Pipelines für kontinuierliche Integration und kontinuierliche Bereitstellung (CI/CD) ausnutzten, indem sie ein ähnliches Organisations-Repository namens „Berri-AI/litellm“ erstellten, um den legitimen GitHub-Namespace „BerriAI/litellm“ des Projekts nachzuahmen. Indem sie Upstream-Build-Abhängigkeiten vergifteten und gefälschte Paketartefakte veröffentlichten, gelang es den Angreifern, durch Hintertüren in den offiziellen Distributionsstrom einzuschleusen, ohne die Betreuer zu alarmieren.

![Softwareentwicklungslebenszyklus und automatisierte Bereitstellungspipelines sind anfällig für Paketabhängigkeitsinjektion.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792648045156-tq83yl-litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morning-inside-1-c0751f3af2.webp)
*Softwareentwicklungslebenszyklus und automatisierte Bereitstellungspipelines sind anfällig für Paketabhängigkeitsinjektion.*

Bei der Installation oder dem Start des Containers führte die vergiftete Bibliothek ein verschleiertes Initialisierungsskript aus, das darauf ausgelegt war, sensible Umgebungsvariablen zu sammeln, darunter AWS-Zugriffsschlüssel, GCP-Dienstkonto-Tokens, OpenAI-API-Geheimnisse und Anthropic-Anmeldeinformationen. Die gesammelten Anmeldeinformationen wurden verschlüsselt und Out-of-Band an einen vom Gegner kontrollierten Command-and-Control-Server übertragen, der unter einer betrügerischen Cloud-Infrastrukturdomäne registriert ist.

## Warum es wichtig ist

Der Kompromiss LiteLLM verdeutlicht die akute Anfälligkeit moderner Anwendungsstapel für künstliche Intelligenz gegenüber der Infiltration der Lieferkette von Open-Source-Software. Während Unternehmen darum kämpfen, generative KI-Anwendungen und autonome Agenten zu entwickeln, haben Entwickler Dutzende spezialisierter Open-Source-Abstraktionsbibliotheken integriert, oft ohne gründliche Abhängigkeitsprüfungen durchzuführen oder kryptografische Paket-Hashes zu fixieren.

Da LiteLLM als zentraler Proxy dient, der Unternehmensabfragen an externe Modellanbieter weiterleitet, arbeitet die Bibliothek von Natur aus in Umgebungen, die mit hochprivilegierten Unternehmens-API-Schlüsseln und sensiblen Betriebsgeheimnissen ausgestattet sind. Eine erfolgreiche Kompromittierung dieses zentralen Gateways verschafft Bedrohungsakteuren sofortigen, uneingeschränkten Zugriff auf proprietäre Unternehmensmodelle, vertrauliche Eingabeaufforderungsverläufe und zugrunde liegende Cloud-Infrastrukturkonten.

Der Vorfall unterstreicht die zunehmende Raffinesse von Cyberkriminalitätssyndikaten, die es auf automatisierte Entwicklertools abgesehen haben. Anstatt gehärtete Unternehmensperimeter direkt anzugreifen, konzentrieren Angreifer ihre Angriffsressourcen zunehmend darauf, die gemeinsamen Open-Source-Abhängigkeiten und automatisierten Paketregistrierungen zu vergiften, denen moderne Entwickler implizit vertrauen.

## Technische Details

Der Angriffsmechanismus wurde mit bemerkenswerter Heimlichkeit entwickelt. Die Angreifer fügten einen sekundären Initialisierungs-Hook in die Kernpaketdatei der Bibliothek ein und versteckten die Nutzlast in einer codierten Base64-Zeichenfolge, die so formatiert war, dass sie Standardmetadaten für die Telemetriekonfiguration ähnelte. Als die Python-Laufzeit das Paket importierte, dekodierte der Hook ein speicherinternes Skript, das Standardaufrufe der Systemumgebung einhakte.

Die Nutzlast führte eine sofortige Speicherdurchsuchung durch und untersuchte Prozessumgebungswörterbücher auf Zeichenfolgen mit hoher Entropie, die bekannten Regex-Mustern für Cloud-Anbieter entsprechen, einschließlich Zeichenfolgen, die mit „sk-ant-“, „sk-proj-“, „AKIA“ und Standard-JWT-Bearer-Token-Formaten beginnen. Die Schadsoftware hat auch lokale Cloud-Instanz-Metadatendienste (IMDSv2) abgefragt, um temporäre IAM-Anmeldeinformationen zu extrahieren, die mit dem Hosten virtueller Maschinen verknüpft sind.

![Workstation für Cybersicherheitsanalysten, die Nutzlasten des Netzwerkverkehrs inspiziert und Exfiltrationsendpunkte identifiziert.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792648047179-5229p2-litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morning-inside-2-aae8a6c9ea.webp)
*Workstation für Cybersicherheitsanalysten, die Nutzlasten des Netzwerkverkehrs inspiziert und Exfiltrationsendpunkte identifiziert.*

Um Systeme zur Erkennung von Netzwerkeinbrüchen zu umgehen, wurden die gestohlenen Zugangsdaten mit gzip komprimiert, mit einem eingebetteten öffentlichen RSA-Schlüssel verschlüsselt und über asynchrone DNS-Tunneling-Anfragen und HTTPS-POST-Verkehr übertragen, getarnt als legitime Fehlerberichtstelemetrie, die an eine gefälschte Analysedomäne gesendet wurde.

Das Python Package Index-Sicherheitsteam reagierte schnell, nachdem es die Bedrohungswarnung von Socket erhalten hatte, indem es die kompromittierte Version 1.107.0 innerhalb von neunzig Minuten nach der formellen Benachrichtigung unter Quarantäne stellte und das kompromittierte Veröffentlichungstoken widerrief. Anschließend veröffentlichten die Betreuer die bereinigten Versionen 1.107.1 und 1.107.2, begleitet von kryptografischen Build-Herkunftsbescheinigungen, die über Sigstore unterzeichnet wurden.

## Auswirkungen auf Markt und Branche

Die Offenlegung erschütterte das Ökosystem der Unternehmensentwickler und löste Notfall-Sicherheitsaudits bei Tausenden von Organisationen aus, die LiteLLM in Produktionsumgebungen nutzen. Prominente Unternehmensanwender, darunter Anbieter von Unternehmenssoftware, Technologiefirmen im Gesundheitswesen und Finanzinstitute, initiierten sofortige Schlüsselrotationsprotokolle, wodurch alle Anmeldeinformationen von KI-Anbietern ungültig wurden, die während des Kompromittierungsfensters aktiv waren.

Große Cloud-Anbieter haben dringende Sicherheitshinweise für Kunden herausgegeben. Amazon Web Services, Google Cloud und Microsoft Azure alarmierten Kunden, die das beschädigte Container-Image in ihre Elastic-Container-Register übernommen hatten, und stellten automatische Erkennungsskripte zur Identifizierung potenziell gefährdeter Rechencluster bereit.

Es wird erwartet, dass der Vorfall die Umsetzung behördlicher und unternehmensinterner Vorschriften beschleunigen wird, die eine obligatorische Software Bill of Materials (SBOM)-Überprüfung und automatisierte Abhängigkeitssignierung erfordern. Beschaffungsteams von Unternehmen verlangen zunehmend von kommerziellen Softwareanbietern, dass sie eine strikte Überprüfung der Paketherkunft und Build-Hermetik nachweisen, bevor sie Open-Source-KI-Tools für den Produktionseinsatz autorisieren.

## Worauf man als Nächstes achten sollte

In den kommenden Tagen werden forensische Sicherheitsermittler detaillierte Zuordnungsberichte veröffentlichen, in denen die Command-and-Control-Server-Infrastruktur analysiert wird, um festzustellen, ob der Angriff von finanziell motivierten Cyberkriminellen oder einem staatlich geförderten Advanced Persistent Threat-Akteur inszeniert wurde.

Entwicklungsteams, die LiteLLM verwenden, müssen überprüfen, ob alle lokalen Umgebungen, CI/CD-Läufer und Produktions-Kubernetes-Pods auf Version 1.107.2 oder höher aktualisiert wurden, und gründliche Überprüfungen der Zugriffsprotokolle in allen Dashboards externer KI-Anbieter durchführen, um unbefugten API-Verbrauch zu erkennen.

Schließlich werden Open-Source-Registrierungsadministratoren und Stiftungsleiter strengere Sicherheitsrichtlinien für Pakete mit hohem Datenverkehr bewerten, einschließlich obligatorischer Multi-Faktor-Authentifizierungs-Hardwareschlüssel für Herausgeber, automatisierter Paketerstellungsüberprüfung und strikter Verhinderung von Namensraumkollisionen in Organisationen.

## Quellen

- [Hinweis zu Socket-Sicherheitsbedrohungen](https://socket.dev/blog/litellm-compromised-pypi-docker-supply-chain-attack): Forensisches Bedrohungsbulletin mit detaillierten Informationen zu schädlichen Paket-Hashes, Anmeldeinformations-Exfiltrations-Endpunkten und manipulierten Release-Artefakten.
- [BleepingComputer-Cybersicherheitsbericht](https://www.bleepingcomputer.com/news/security/litellm-python-ai-package-backdoored-on-pypi/): Berichterstattung über die Anzahl der betroffenen Unternehmens-Downloads, Anleitungen zur Fehlerbehebung für Entwickler und Anforderungen für den Widerruf von API-Schlüsseln.
- [Sicherheitsanalyse für Dark Reading-Software](https://www.darkreading.com/application-security/litellm-supply-chain-exploit-highlights-ci-cd-vulnerabilities): Technische Untersuchung der automatisierten Build-Trust-Konfigurationen von GitHub Actions und der Mechanismen zum Spoofing von Repo-Namen.

Mentions: Socket Research Team, PyPI, LiteLLM, Python Software Foundation

## Sources
- [Hinweis zu Socket-Sicherheitsbedrohungen](https://socket.dev/blog/litellm-compromised-pypi-docker-supply-chain-attack)
- [BleepingComputer-Cybersicherheitsbericht](https://www.bleepingcomputer.com/news/security/litellm-python-ai-package-backdoored-on-pypi/)
- [Sicherheitsanalyse für Dark Reading-Software](https://www.darkreading.com/application-security/litellm-supply-chain-exploit-highlights-ci-cd-vulnerabilities)