파이썬 유명 AI 패키지 LiteLLM에 해킹 백도어 침투... 설치만 해도 비번 털린다

요약 파이썬 기반 유명 LLM 라이브러리인 LiteLLM의 PyPI 배포판(1.107.0 버전)에 악성 자격 증명 탈취기와 원격 코드 실행 백도어가 심어진 정황이 보안 분석을 통해 드러났습니다. 보안 업체 SafeDep 분석에 따르면 이번에 배포된 1.107.0 버전의 7개 휠 패키지(Linux, macOS, Windows)에는 `site-packages`에 악성 파일 3종(`cook.pth`, `cook.py`, `sitecustomize.py`)이 설치되도록 조작되어 있었습니다. 파이썬은 실행 시 `.pth` 파일 내의 임포트 구문을 자동 로드하는데, `cook.pth`가 `import cook`을 호출하도록 설계되어 있어 LiteLLM 모듈을 직접 import하지 않더라도 해당 환경에서 파이썬 프로세스(IDE 언어 서버, pip, CI 작업 등)가 실행될 때마다 악성코드가 동작하는 치명적인 구조입니다. 탈취기(`cook.py`)는 시스템의 SSH 키, 클라우드 인증 자격 증명, CI/CD 시크릿, AI 도구 토큰, 브라우저 비밀번호, LiteLLM 프록시 DB 내 LLM API 키 등을 수집해 암호화한 뒤 외부 서버(`www.litellm[.]dev`)로 유출합니다. 또한 `sitecustomize.py`는 백그라운드 데몬을 구동해 매시간 특정 깃허브 파일에서 C2 주소를 확인한 후 원격 코드를 내려받아 실행하는 기능까지 갖추고 있었습니다. 공격자는 빌드 설정 파일(`pyproject.toml`)의 maturin 빌드 섹션에 `data = "cook"` 한 줄을 주입해 악성 파일들이 휠 패키지에 패키징되도록 꾸몄습니다. GitHub 업스트림 공개 소스나 태그 커밋에는 해당 코드가 없었으나, 릴리스 타임스탬프와 빌드 아티팩트의 특징으로 보아 BerriAI의 비공개 릴리스 파이프라인 또는 관리자 권한이 탈취되어 빌드가 수행된 것으로 추정됩니다. 현재 PyPI에서는 문제의 1.107.0 버전이 즉시 삭제 조치되었으며, 이전 버전인 1.106.2 및 rc 버전들은 안전한 것으로 확인되었습니다.