Vanmiddag stuurde een collega-developer me een screenshot. Mijn eerste reactie: nee toch. Mijn tweede reactie: controleer direct je eigen machine. De LiteLLM supply chain aanval van dit jaar is namelijk niet het soort hack dat je pas merkt als het te laat is. Je merkt het helemaal niet. De malware werkt stil op de achtergrond. Terwijl jij gewoon in Amsterdam of Rotterdam aan het werk bent. CZ van Binance reageerde al op X: supply chain aanvallen worden normaal met AI. Hij heeft gelijk. En dit is het bewijs.
Wat de LiteLLM supply chain aanval inhoudt
LiteLLM heeft ruim 40.000 GitHub-sterren en 95 miljoen maandelijkse downloads. Het is de gateway die developers gebruiken om tegelijkertijd met OpenAI, Anthropic, Google en honderden andere AI-modellen te praten. Daardoor heeft het namelijk toegang tot alle API-sleutels van een organisatie. En dat is precies waar de aanvallers op mikten. Versies 1.82.7 en 1.82.8, aldus de gedetailleerde analyse van Endor Labs, bevatten een kwaadaardig bestand genaamd litellm_init.pth. Dat bestand triggert automatisch bij elke Python-start. Je hoeft LiteLLM niet eens te importeren. De malware pakt alles: SSH-sleutels, cloudcredentials van AWS, GCP en Azure, Kubernetes-configuraties, API-sleutels uit .env-bestanden en cryptowallets. Alles gaat versleuteld via AES-256 en RSA-4096 naar de aanvallers. Hun server draait op models.litellm[.]cloud, nadrukkelijk NIET het officiële litellm.ai. Dat nepadomein was, zo toont het GitHub-incidentrapport aan, al op 23 maart geregistreerd. Uren voor de aanval.
Versie 1.82.8 is echter de gevaarlijkste. Die bevat een .pth-bestand dat bij elke Python-interpreterstart triggert. Niet alleen bij import van LiteLLM. Ieder Python-script op een besmette machine voert daardoor de malware uit. CI/CD-pipelines, Docker-images, Kubernetes-clusters: alles raakt besmet. De LiteLLM supply chain aanval van dit jaar is daarmee een van de agressiefste Python-compromises ooit, zoals ook XDA Developers over dit lek concludeerde. PyPI heeft intussen het volledige pakket gesuspendeerd.
TeamPCP, de groep achter de LiteLLM supply chain aanval
Dit is geen eenmalig incident. Het is de derde slag van groep TeamPCP in één maand. Op 19 maart troffen ze Trivy, de kwetsbaarheidsscanner van Aqua Security. Op 23 maart, zo beschrijft Wiz over de KICS-aanval, volgden KICS en Checkmarx. Op 24 maart PyPI met LiteLLM. De strategie is consistent en doordacht. TeamPCP compromitteert eerst beveiligingstools, omdat die de breedste toegang hebben tot credentials. Met die gestolen credentials openen ze de volgende deur. Elke aanval financiert de volgende. Inmiddels zijn vijf software-ecosystemen getroffen: GitHub Actions, Docker Hub, npm, OpenVSX en PyPI. De LiteLLM supply chain aanval markeert bovendien een verschuiving. Van beveiligingstools naar AI-infrastructuur. Dat is geen toeval. AI-tools zitten diep in productieomgevingen. Juist daardoor zijn ze zo waardevol als doelwit.
Wat je nu direct moet doen
Stop met lezen en doe dit eerst. Draai pip show litellm en controleer je versie. Draai ook find ~/.cache/uv -name "litellm_init.pth" om het kwaadaardige bestand te detecteren. Verwijder daarna het pakket en leeg je cache via pip cache purge. Roteer vervolgens alle credentials. Alles. SSH-sleutels, cloudtokens, Kubernetes-configuraties, .env-bestanden en crypto wallets. Ga ervan uit dat alles is gestolen als je versie 1.82.7 of 1.82.8 had.
Dit raakt namelijk direct Bitcoin en andere cryptohouders. Crypto wallets staan expliciet op de doelwitlijst van de aanvallers. Bovendien geldt dit voor iedereen die LiteLLM als transitive dependency heeft, dus ook voor mensen die het nooit bewust installeerden. Cursor IDE trok het package namelijk automatisch binnen via een MCP-plugin. De OpenAI en Anthropic-concurrentie drijft developers ertoe razendsnel nieuwe AI-tools te installeren. Dat tempo creëert exact het type kwetsbaarheid dat TeamPCP uitbuit.
