LiteLLM Disusupi Malware Pencuri Data, Ini Cara Cek dan Amankan Server

LiteLLM, library Python yang banyak dipakai untuk menghubungkan aplikasi ke berbagai model AI, kembali kebobolan. Pada 21 Oktober 2026, versi 1.107.0 yang terbit di PyPI dan Docker ternyata berisi malware pencuri kredensial sekaligus pintu belakang untuk menjalankan kode dari jarak jauh. Versi itu memang hanya beredar sekitar dua jam, tapi dampaknya bisa besar karena LiteLLM diunduh sekitar 23 juta kali per minggu.

Artikel ini akan menjelaskan versi mana saja yang terdampak, data apa yang diincar malware tersebut, bagaimana cara mengecek apakah server atau laptop ikut kena, dan langkah apa yang perlu diambil supaya aman. Ada juga catatan khusus buat tim dan developer di Indonesia yang memakai LiteLLM sebagai proxy AI di aplikasi mereka.

Kronologi singkat kebobolan LiteLLM 1.107.0

Menurut laporan resmi tim LiteLLM, pipeline rilis mereka dibobol pada dini hari 21 Oktober waktu Amerika. Penyerang lalu mendorong versi palsu 1.107.0 ke PyPI dan registry Docker. Dalam waktu WIB, urutannya kira-kira seperti ini:

1. 18.39 WIB (21 Okt): paket litellm==1.107.0 muncul di PyPI, lengkap dengan tujuh file wheel untuk macOS, Linux, dan Windows.
2. 18.46 WIB: image Docker dengan tag v1.107.0, latest, main-latest, dan main-stable di Docker Hub dan GHCR ikut diarahkan ke image berbahaya.
3. 20.23 WIB: paket di PyPI ditarik setelah dikarantina.
4. 20.51 WIB: tag di GHCR sudah tidak bisa diakses.
5. 21.20 WIB: tag di Docker Hub dibersihkan dan diarahkan kembali ke sumber yang aman.

Tim LiteLLM menyatakan insiden ini sudah ditangani (contained), tapi investigasi masih berjalan. Mereka juga menegaskan bahwa semua versi sebelumnya aman, dan pelanggan Enterprise yang memakai rilis privat tidak terdampak.

Catatan: Ini adalah kebobolan kedua LiteLLM di 2026. Pada Maret lalu, versi 1.82.7 dan 1.82.8 juga disusupi dengan trik yang mirip. Datadog Security Labs menyebut belum ada bukti kaitan langsung antara dua insiden tersebut.

Yang membuat kasus ini lebih licik, kode sumber resmi di tag GitHub v1.107.0 justru bersih. File berbahaya baru masuk saat proses build, karena artefak yang terbit dibangun dari repositori yang dikendalikan penyerang.

Versi yang kena dan versi yang aman

Supaya tidak bingung, berikut daftar singkatnya berdasarkan rilis resmi LiteLLM, OSV, dan peneliti keamanan:

Terdampak:

• PyPI: litellm==1.107.0, semua tujuh wheel.
• Docker Hub dan GHCR: tag v1.107.0, latest, main-latest, dan main-stable, selama jendela waktu di atas.
• Image turunan seperti ghcr.io/berriai/litellm-database dan ghcr.io/berriai/litellm-non_root juga ikut tercatat dalam laporan resmi.

Aman:

• litellm==1.106.2, yang disebut sebagai versi aman terbaru.
• Versi kandidat 1.107.0rc1 dan 1.107.0rc2.
• Rilis privat untuk pelanggan Enterprise.

Hal penting yang sering terlewat ada di tag Docker yang bisa berubah seperti latest. Kalau server menarik image latest di jam-jam tersebut, server itu perlu dianggap ikut terpapar, walaupun tim tidak pernah mengetik angka 1.107.0 secara sengaja.

Cara kerja malware di LiteLLM palsu

Peneliti JFrog dan OSV menemukan tiga file tambahan di setiap wheel: cook.pth, cook.py, dan sitecustomize.py. Ketiganya dipasang langsung di folder site-packages, bukan di dalam folder LiteLLM.

Akibatnya cukup serius. Malware ini berjalan setiap kali Python dinyalakan, bahkan kalau aplikasi sama sekali tidak memanggil import litellm. Pembagian tugasnya seperti ini:

1. cook.pth hanya berisi perintah import cook, sehingga otomatis dieksekusi saat Python start.
2. cook.py adalah pencuri data yang menamai dirinya "privcollect". Data hasil curian dienkripsi dengan kunci RSA-4096, lalu dikirim ke alamat yang meniru domain LiteLLM.
3. sitecustomize.py berjalan di latar belakang dan setiap jam mengambil daftar domain dari sebuah repo GitHub, lalu mengunduh dan menjalankan kode dari sana. Fungsinya mirip remote shell.

JFrog juga mencatat bahwa source tarball (sdist) tidak berisi tiga file itu, hanya ada tambahan pengaturan data = "cook" di pyproject.toml. Artinya, orang yang hanya memeriksa kode sumber atau tag Git bisa tidak sadar bahwa wheel yang terpasang sudah berbeda.

Data apa saja yang diincar

Daftar target malware ini panjang, dan sebagian besar justru data yang paling sensitif di mesin developer maupun server produksi.

Berdasarkan analisis OSV dan JFrog, yang dikumpulkan antara lain:

• Password dan riwayat browser.
• Kunci SSH, riwayat shell, dan variabel lingkungan (environment variables).
• Kredensial cloud AWS, Google Cloud, dan Azure, termasuk metadata instance cloud.
• Rahasia Kubernetes, Docker, Vault, dan CI/CD.
• Konfigurasi alat AI developer seperti folder ~/.cursor, ~/.claude, ~/.kiro, dan Windsurf.
• Kunci privat GPG dan TLS.
• File .npmrc, .pypirc, dan .git-credentials.
• Kredensial proxy LiteLLM itu sendiri, termasuk API key ke penyedia model AI.

Poin terakhir ini yang paling bikin pusing. Banyak tim memakai LiteLLM sebagai gerbang ke OpenAI, Anthropic, Google, atau DeepSeek, jadi satu server yang kena bisa membocorkan semua API key model AI sekaligus. Tagihan API yang tiba-tiba membengkak adalah salah satu tanda yang patut dicurigai.

Cara cek apakah server atau laptop ikut kena

Langkah pertama adalah memastikan versi yang terpasang. Tapi ada satu peringatan penting dari tim LiteLLM: jangan langsung menjalankan pip install di lingkungan yang dicurigai, karena setiap kali Python menyala, termasuk saat menjalankan pip, malware ikut berjalan lagi.

Gunakan perintah shell biasa yang tidak memanggil Python. Contohnya:

# Cari file berbahaya di semua folder site-packages
find / -path "*site-packages*" \( -name "cook.pth" -o -name "cook.py" \) 2>/dev/null
find / -name "sitecustomize.py" -path "*site-packages*" 2>/dev/null

# Cek file penanda yang ditinggalkan malware
ls -la /tmp/.pc_once_72129118c59f5636c0bb 2>/dev/null

# Cek versi lewat folder metadata, tanpa menjalankan Python
ls -d /path/ke/venv/lib/python3*/site-packages/litellm-*.dist-info

Untuk Docker, cek riwayat image dan digest yang dipakai server:

Baca juga OpenAI Bikin Aturan Baru, Router dan Gateway AI Wajib Minta Izin Mulai 20 November

1. Jalankan docker images --digests | grep litellm untuk melihat digest image yang tersimpan.
2. Bandingkan dengan digest berbahaya yang diumumkan LiteLLM, misalnya yang diawali sha256:1bbcb1443bc9.
3. Periksa log deploy atau CI: apakah ada pull image latest, main-latest, atau main-stable antara pukul 18.46 dan 21.20 WIB pada 21 Oktober?

Tips: Jangan lupa cek pipeline CI/CD dan laptop developer. Malware ini menargetkan rahasia CI dan konfigurasi editor AI, jadi mesin yang hanya dipakai untuk testing pun tetap berisiko.

Langkah amankan kalau ternyata terpapar

Kalau hasil pengecekan menunjukkan versi 1.107.0 pernah terpasang, anggap mesin itu sudah dibobol. Panduan dari LiteLLM, Datadog, dan JFrog kurang lebih sejalan:

1. Isolasi mesin dari jaringan supaya pintu belakang tidak bisa menerima perintah baru.
2. Hapus cook.pth, cook.py, sitecustomize.py, beserta file .pyc yang terkait, langsung dari shell.
3. Matikan proses loader yang berjalan di latar belakang.
4. Bangun ulang dari image yang bersih, lalu kunci versi ke litellm==1.106.2.
5. Ganti (rotate) semua kredensial yang bisa diakses dari mesin itu, dan lakukan dari mesin lain yang bersih. Ini termasuk API key AI, akses cloud, token GitHub, password database, dan master key proxy LiteLLM.
6. Audit log penggunaan kredensial selama jendela paparan, misalnya login cloud yang aneh atau lonjakan pemakaian API.

Urutannya penting. Mengganti kredensial dari mesin yang masih terinfeksi hanya akan membuat kredensial baru ikut dicuri lagi.

Catatan buat developer dan startup di Indonesia

LiteLLM cukup populer di kalangan developer Indonesia, terutama tim yang membangun chatbot, agen AI, atau layanan internal yang perlu berpindah-pindah antara beberapa penyedia model. Banyak juga yang memasangnya lewat Docker di VPS lokal karena praktis.

Beberapa hal yang relevan untuk kondisi di sini:

• Waktu kejadian jatuh di malam hari WIB. Jendela 18.39 sampai 21.20 WIB adalah jam yang sering dipakai untuk deploy setelah jam kantor, jadi tim di Indonesia justru perlu lebih teliti mengecek log.
• Banyak VPS memakai tag latest. Kebiasaan ini praktis, tapi kasus ini menunjukkan risikonya. Sebaiknya kunci versi dan digest image.
• Tagihan API dalam dolar. Kalau API key bocor, tagihan bisa membengkak dalam hitungan jam. Pasang batas pemakaian (usage limit) di dashboard penyedia model.
• Tim kecil sering berbagi satu key. Startup atau UMKM yang memakai satu API key untuk semua layanan sebaiknya mulai memisahkan key per aplikasi, supaya kalau satu bocor, dampaknya tidak menyebar.

Cara mencegah kejadian serupa ke depan

Kasus supply chain seperti ini tidak bisa dicegah 100 persen dari sisi pengguna, tapi risikonya bisa dikurangi cukup jauh dengan kebiasaan sederhana:

1. Kunci versi (pinning) di requirements.txt atau pyproject.toml, lengkap dengan hash bila memungkinkan, misalnya lewat pip install --require-hashes.
2. Jangan langsung naik ke versi terbaru di hari rilis. Memberi jeda satu sampai dua hari sering cukup untuk menghindari paket berbahaya yang biasanya cepat ketahuan.
3. Pakai digest, bukan tag, untuk image Docker di produksi.
4. Simpan rahasia di secret manager, bukan di file .env yang bisa dibaca semua proses.
5. Pasang pemindai dependensi seperti OSV-Scanner atau fitur keamanan bawaan GitHub supaya peringatan paket berbahaya cepat masuk.

Komunitas masih memantau perkembangan insiden ini lewat issue #47826 di repositori LiteLLM, dan tim LiteLLM berjanji memperbarui laporan penyebabnya begitu investigasi selesai.

Poin penting

• LiteLLM 1.107.0 di PyPI dan Docker sempat berisi malware pada 21 Oktober 2026.
• Malware berjalan setiap Python dinyalakan, tanpa perlu import litellm.
• Targetnya kredensial cloud, API key AI, kunci SSH, rahasia CI, dan password browser.
• Versi aman terbaru adalah 1.106.2.
• Kalau terpapar: isolasi, hapus file, bangun ulang, lalu ganti semua kredensial dari mesin bersih.

Referensi

1. LiteLLM (2026). Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised
2. Datadog Security Labs (2026). LiteLLM supply chain compromise: What you need to know
3. JFrog Security Research (2026). LiteLLM Hijacked Again: Malicious 1.107.0 Wheels Steal Credentials and Load Remote Code
4. OSV (2026). MAL-2026-2144: Malicious code in litellm (PyPI)
5. Wiz (2026). LiteLLM Compromised, Steals Credentials
6. DeAI (2026). DeAI Daily Brief, 22 October 2026