muaddib-scanner 2.10.13 → 2.10.14

package/iocs/builtin.yaml

@@ -206,6 +206,8 @@ files:
   # GlassWorm (mars 2026)
   - i.js
   - init.json
+  # LiteLLM/Checkmarx (mars 2026) — .pth = Python auto-exec persistence
+  - litellm_init.pth
 
 hashes:
   # Shai-Hulud v2 payloads

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "muaddib-scanner",
-  "version": "2.10.13",
+  "version": "2.10.14",
   "description": "Supply-chain threat detection & response for npm & PyPI/Python",
   "main": "src/index.js",
   "bin": {

package/src/response/playbooks.js

@@ -690,6 +690,14 @@ const PLAYBOOKS = {
     'pour reecrire le malware a chaque execution, evitant la detection par signature. Moteur polymorphe. ' +
     'Verifier si Ollama est installe: curl http://localhost:11434/api/tags. ' +
     'Aucun package npm legitime n\'appelle un LLM local. Supprimer le package.',
+
+  pth_persistence:
+    'CRITIQUE: Ecriture d\'un fichier .pth detectee. Les fichiers .pth dans site-packages/ sont executes ' +
+    'automatiquement par Python au demarrage — c\'est un vecteur de persistence invisible. ' +
+    'Technique LiteLLM/Checkmarx (mars 2026): litellm_init.pth contient du code base64 qui installe un stealer ' +
+    'dans ~/.config/sysmon/ et exfiltre vers checkmarx.zone. ' +
+    'Verifier: find $(python -c "import site; print(site.getsitepackages()[0])") -name "*.pth" -exec cat {} \\; ' +
+    'Supprimer tout fichier .pth non standard. Rotation des credentials.',
 };
 
 function getPlaybook(threatType) {

package/src/rules/index.js

@@ -1667,6 +1667,18 @@ const RULES = {
     ],
     mitre: 'T1543.002'
   },
+  pth_persistence: {
+    id: 'MUADDIB-AST-061',
+    name: 'Python .pth Auto-Exec Persistence',
+    severity: 'CRITICAL',
+    confidence: 'high',
+    description: 'Ecriture d\'un fichier .pth detectee. Les fichiers .pth dans site-packages/ sont executes automatiquement par l\'interpreteur Python au demarrage, sans import explicite. Technique de persistence LiteLLM/Checkmarx (litellm_init.pth) : le .pth contient du code Python base64-encode qui installe un stealer.',
+    references: [
+      'https://blog.pypi.org/posts/2026-03-24-litellm-compromise/',
+      'https://attack.mitre.org/techniques/T1546/004/'
+    ],
+    mitre: 'T1546.004'
+  },
   npm_token_steal: {
     id: 'MUADDIB-AST-060',
     name: 'NPM Token Extraction via CLI',

package/src/scanner/ast-detectors.js

@@ -1201,6 +1201,17 @@ function handleCallExpression(node, ctx) {
           file: ctx.relFile
         });
       }
+      // Detect writes to .pth files — Python auto-exec persistence (LiteLLM/Checkmarx T1546.004)
+      // .pth files in site-packages/ are executed automatically by the Python interpreter at startup.
+      // No legitimate npm package creates .pth files.
+      if (sdPathStr && /\.pth$/i.test(sdPathStr)) {
+        ctx.threats.push({
+          type: 'pth_persistence',
+          severity: 'CRITICAL',
+          message: `${sdWriteMethod}() writes to Python .pth file: "${sdPathStr.substring(0, 80)}" — auto-exec persistence technique (LiteLLM/Checkmarx).`,
+          file: ctx.relFile
+        });
+      }
     }
   }
 

package/src/scanner/dataflow.js

@@ -1000,7 +1000,8 @@ const SENSITIVE_PATH_PATTERNS = [
   '_cacache', '.cache/yarn', '.cache/pip',
   // P6: Removed discord, leveldb — data directories, not credential paths.
   // _cacache/.cache kept — real cache poisoning vectors (T1195.002).
-  '/proc/mem', '/proc/self'  // v2.10.11: runner secret extraction from process memory (TeamPCP Trivy stealer)
+  '/proc/mem', '/proc/self',  // v2.10.11: runner secret extraction from process memory (TeamPCP Trivy stealer)
+  '.config/sysmon'  // v2.10.13: LiteLLM/Checkmarx credential stealer staging path
 ];
 
 function isSensitivePath(val) {