HackerNews 编译，转载请注明出处：

AI招聘公司Mercor披露受到近期LiteLLM供应链攻击影响，此前勒索团伙声称窃取了4TB数据。

...

HackerNews 编译，转载请注明出处：

TeamPCP黑客组织持续发动供应链攻击，现已入侵广受欢迎的Python库"LiteLLM"，并声称在攻击期间从数十万台设备窃取数据。

LiteLLM是一款开源Python库，作为统一API网关对接多个大语言模型（LLM）提供商。该包极为热门，日均下载量超340万次，过去一个月下载量超9500万次。

据Endor Labs研究，威胁行为体入侵该项目后，今日向PyPI发布了LiteLLM 1.82.7和1.82.8的恶意版本，部署信息窃取程序收集各类敏感数据。

此次攻击由TeamPCP认领，该组织此前高调入侵了Aqua Security的Trivy漏洞扫描器。那次入侵引发连锁反应，波及Aqua Security Docker镜像、Checkmarx KICS项目，如今又轮到LiteLLM。

该组织还被发现利用恶意脚本攻击Kubernetes集群——当检测到伊朗配置的系统时擦除所有机器，在其他地区设备上则安装新型CanisterWorm后门。

消息人士告诉BleepingComputer，数据外泄数量约50万条，其中大量为重复记录。VX-Underground报告的"感染设备"数量相近。但BleepingComputer未能独立核实这些数字。

LiteLLM供应链攻击详情

Endor Labs报告称，威胁行为体今日推送了两个恶意版本，均在包导入时执行隐藏载荷。

恶意代码以base64编码形式注入'litellm/proxy/proxy_server.py'文件，模块导入时即解码执行。1.82.8版本更进一步，向Python环境安装名为'litellm_init.pth'的.pth文件。由于Python解释器启动时会自动处理所有.pth文件，即使不专门使用LiteLLM，恶意代码也会在Python运行时执行。

执行后，载荷最终部署"TeamPCP Cloud Stealer"变种及持久化脚本。BleepingComputer分析显示，该载荷与Trivy供应链攻击中使用的凭证窃取逻辑几乎相同。

Endor Labs解释："载荷触发后执行三阶段攻击：收集凭证（SSH密钥、云令牌、Kubernetes密钥、加密钱包和.env文件），尝试通过向每个节点部署特权Pod在Kubernetes集群内横向移动，并安装持久化systemd后门以轮询额外二进制文件。外泄数据经加密后发送至攻击者控制的域名。"

窃取范围

该窃取程序收集广泛的凭证和认证密钥，包括：

...

HackerNews 编译，转载请注明出处：

...

HackerNews 编译，转载请注明出处：

被称为 UNC6426 的威胁行为者利用去年 nx npm 包遭供应链入侵后窃取的密钥，在 72 小时内完全攻破受害者的云环境。

...

HackerNews 编译，转载请注明出处：

一种新型复杂网络威胁已出现，攻击者通过被攻陷的镜像网站与 GitHub 仓库，针对多操作系统用户发动攻击。

...

HackerNews 编译，转载请注明出处：

多家安全厂商近期接连发出预警，npm 代码仓库正遭遇新一轮网络攻击。此次攻击手法与此前的 “沙虫” 攻击如出一辙，这轮被命名为 “沙虫二号” 的供应链攻击事件已入侵数百个 npm 软件包。据艾基多、螺旋卫士、锦鲤安全、赛克特、斯特普安全及维兹安全等机构报告，这些植入恶意代码的 npm 软件包于 2025 年 11 月 21 日至 23 日期间被上传至 npm 平台。

维兹安全的研究人员指出：“此次攻击推出了恶意代码的新型变种，其会在软件预安装阶段执行恶意程序，这使得代码构建与运行环境面临的安全风险大幅上升。”

今年 9 月，“沙虫” 攻击事件浮出水面。与该事件类似，此次攻击也会将窃取的机密信息上传至代码托管平台吉特哈伯，且相关代码仓库的描述标注为 “沙虫二号：卷土重来”。

上一轮 “沙虫” 攻击的主要手段是入侵正规软件包并植入恶意代码。这些恶意代码会借助 “松露猎猪” 凭证扫描工具，搜查开发人员设备中的机密信息，并将信息传输至攻击者控制的外部服务器。此外，受感染的软件包变种还具备自我复制传播能力，会重新上传至遭入侵的开发者名下的其他 npm 软件包中。

而在此次攻击中，攻击者在软件配置文件（package.json）内添加了一个名为 “初始化邦恩脚本” 的预安装脚本。该脚本的作用是秘密安装或定位邦恩运行环境，进而执行内置的恶意脚本 “邦恩环境脚本”。

...

HackerNews 编译，转载请注明出处：

疑似某国家级威胁行为体被指与新型恶意软件 Airstalk 的传播有关，此次攻击疑似为供应链攻击。

Palo Alto Networks旗下安全研究团队 Unit 42 表示，正以 “CL-STA-1009” 为代号追踪该攻击集群，其中 “CL” 代表集群（cluster），“STA” 指国家支持背景（state-backed motivation）。

安全研究员克里斯托弗・鲁索与切马・加西亚在分析报告中指出：“Airstalk 恶意软件滥用了移动设备管理领域的 AirWatch API—— 该平台现更名为 Workspace ONE 统一终端管理系统。它通过该 API 建立秘密的命令与控制（C2）通道，主要借助 AirWatch 的自定义设备属性管理和文件上传功能实现这一操作。”

该恶意软件存在 PowerShell 和.NET 两个版本，采用多线程命令与控制（C2）通信协议，能够捕获屏幕截图，并窃取网页浏览器的 Cookie、浏览历史、书签等数据。据信，攻击者利用了一张被盗证书对部分恶意程序组件进行签名。

Unit 42 指出，Airstalk 的.NET 版本比 PowerShell 版本具备更丰富的功能，推测其可能是该恶意软件的高级版本。

其中，PowerShell 版本通过 “/api/mdm/devices/” 端点进行 C2 通信。该端点的设计初衷是获取特定设备的内容详情，但恶意软件利用 API 中的自定义属性功能，将其用作 “死信箱解析器”（dead drop resolver），存储与攻击者交互所需的关键信息。

一旦启动，该后门程序会先发送 “CONNECT”（连接）消息初始化通信，等待服务器返回 “CONNECTED”（已连接）响应后，便会接收各类以 “ACTIONS”（操作）类型消息发送的任务，并在受感染主机上执行。执行结果将通过 “RESULT”（结果）消息反馈给攻击者。

该后门支持七种不同的操作指令，包括：捕获屏幕截图、获取谷歌浏览器（Google Chrome）的 Cookie、列出所有用户的 Chrome 配置文件、提取指定配置文件的浏览器书签、收集指定 Chrome 配置文件的浏览历史、枚举用户目录下的所有文件，以及从主机中自行卸载。

Unit 42 表示：“Airstalk 执行部分任务后，需要回传大量数据或文件。为此，恶意软件利用 AirWatch MDM API 的二进制大对象（blobs）功能，将相关内容以新的二进制大对象形式上传。”

Airstalk 的.NET 版本进一步扩展了功能范围，除谷歌浏览器外，还针对微软 Edge 浏览器和企业级专用浏览器 Island 发起攻击，同时试图伪装成 AirWatch 辅助工具（“AirwatchHelper.exe”）。此外，该版本新增了三种消息类型：

...

HackerNews 编译，转载请注明出处：

...

HackerNews 编译，转载请注明出处：

在一次新的供应链攻击中，超过180个NPM包被一种自复制恶意软件击中，该恶意软件用于窃取机密、在GitHub上发布这些机密，并将私有仓库变为公开仓库。

...

HackerNews 编译，转载请注明出处：

nx构建系统的维护者已向用户发出供应链攻击警报，此次攻击导致恶意版本的流行npm软件包及具有数据收集功能的辅助插件被发布。

...