هجوم سلسلة التوريد على LiteLLM: النطاق والتأثير وخطر الأسرار غير المدورة

في مارس 2026، نفذت مجموعة التهديدات TeamPCP هجوماً متسلسلاً على سلسلة التوريد بدأ بأداة فحص أمان وانتهى باختراق LiteLLM، أحد أشهر حزم وكيل الذكاء الاصطناعي مفتوحة المصدر في نظام Python البيئي. كشف الاختراق المحتمل عن أكثر من 2500 مؤسسة، واخترق أكثر من 434,000 خط أنابيب CI/CD، وسرّب 433,909 ملفاً من بيانات الاعتماد في أرشيف بحجم 153 غيغابايت . إليكم ما حدث، ومن تأثر، ولماذا الخطر لم ينته بعد.

كيف نفذت TeamPCP الهجوم المتسلسل في خمسة أيام

TeamPCP (التي تُعرف أيضاً باسم PCPcat وShellForce وDeadCatx3) هي مجموعة إجرامية مدفوعة مادياً، نشطة منذ منتصف عام 2025 . تميزت حملتها في مارس 2026 بـ الهندسة المتسلسلة: بيانات الاعتماد المسروقة من خط أنابيب CI/CD لأحد الضحايا أصبحت متسللاً للهدف التالي . توالى الهجوم على مدى خمسة أيام:

اليوم الأول: Trivy (19 مارس)

حصلت TeamPCP على وصول أولي إلى بنية Aqua Security التحتية عبر استغلال خطأ في تكوين سير عمل pull_request_target — وهو ثغرة من نوع "PwnRequest" . اعترضوا رمز وصول شخصي تم تدويره حديثاً لحساب الخدمة aqua-bot ودفعوا إصدارات العلامات بقوة للإشارة إلى التزامات خبيثة. تم اختطاف 76 من أصل 77 علامة من trivy-action وجميع علامات setup-trivy السبع . يُتتبع هذا الاختراق الأول باسم CVE-2026-33634 (CVSS 9.8 حرج) .

اليوم الثاني: KICS (23 مارس)

باستخدام الرموز المسروقة من ضحايا Trivy، تمكنت TeamPCP من المصادقة كحساب خدمة cx-plugins-releases الخاص بـ Checkmarx ودفعت إصدارات خبيثة من KICS .

اليوم الثالث: LiteLLM (24 مارس)

قام خط أنابيب بناء LiteLLM تلقائياً بتثبيت الماسح الضوئي Trivy المخترق، مما منح البرنامج الضار صلاحية قراءة بيئة المُشغّل. سرقت TeamPCP رموز نشر PyPI الخاصة بـ LiteLLM ونشرت إصدارين ضارين — الإصداران 1.82.7 و1.82.8 — على PyPI . كانت الحزم الضارة متاحة لمدة حوالي 40 دقيقة فقط قبل اكتشافها .

الحمولة البرمجية

نشر برنامج LiteLLM الضار حمولة من ثلاث مراحل :

• جامع بيانات اعتماد يستهدف أكثر من 50 فئة من الأسرار
• مجموعة أدوات للحركة الجانبية في Kubernetes تعمل على تصعيد الصلاحيات إلى الجذر ونشر حاويات ذات صلاحيات عالية
• باب خلفي دائم لتنفيذ الأكواد عن بُعد

استخدم البرنامج الضار حقن ملفات .pth للتنفيذ التلقائي عند كل بدء لتفسير بايثون، دون الحاجة إلى استيراد صريح — مما جعل اكتشافه صعباً بشكل خاص . على المشغّلات المخترقة، قامت الحمولة — التي تتعقبها Google باسم SANDCLOCK — بجمع مفاتيح SSH وبيانات اعتماد AWS/GCP/Azure ورموز حسابات خدمة Kubernetes وكلمات مرور قواعد البيانات .

المؤسسات المتضررة

المصدر	الرقم
CloudSEK (التعرض المُعاد بناؤه)	أكثر من 2500 مؤسسة معرضة محتملاً
CloudSEK (خطوط أنابيب CI/CD)	حوالي 434000 عملية تشغيل خطوط أنابيب
Hudson Rock (مُخرّجات المشغّل المُسنَدة)	118829 مُخرّجاً من 2488 نطاقاً مؤسسياً
حجم الأرشيف	153 غيغابايت، 433909 ملفاً

الضحايا المذكورون الذين حددتهم شركات استخبارات تهديدات متعددة يشملون :

التكنولوجيا: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
المؤسسات: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
الاتصالات والإعلام: Orange, BT Group, SiriusXM/AdsWizz
أخرى: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

كما تم اختراق المفوضية الأوروبية عبر اختراق Trivy الأولي، مما أدى إلى تسريب بيانات اعتماد إدارة AWS وسرقة حوالي 340 غيغابايت من البيانات غير المضغوطة، مما أثر على 42 عميلاً داخلياً و29 كياناً أوروبياً إضافياً .

حجم بيانات الاعتماد المسربة

تشمل أنواع البيانات المسروقة :

• مفاتيح IAM السحابية (AWS, GCP, Azure)
• مفاتيح SSH وأسرار Kubernetes
• كلمات مرور قواعد البيانات وأسرار عملاء Salesforce
• أسرار توقيع Slack ومتغيرات البيئة
• مفاتيح API لمزويدي الذكاء الاصطناعي (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

أصدر مكتب التحقيقات الفيدرالي FBI تنبيهاً عاجلاً في 2 يوليو 2026 محذراً من أن المؤسسات المتضررة من الحملة يجب أن تتعامل مع البيانات المسربة وبيانات الاعتماد كمخاطر دائمة لأن الجهات الفاعلة المرتبطة من المحتمل أن تستخدمها كأسلحة .

الخطر المستمر من الأسرار غير المدورة

على الرغم من خطورة الاختراق، فإن الخطر لم يُحتوى بعد لعدة أسباب:

الأرشيف لم يُسرّب بعد

تذكر Hudson Rock، التي حصلت على الأرشيف وحللته، أن مجموعة البيانات البالغة 153 غيغابايت لم يتم تداولها على نطاق واسع بعد — واصفة إياه بـ "نافذة فرصة حرجة" للمؤسسات لتدوير المفاتيح قبل أن يُسرّب في النهاية .

العديد من المؤسسات لم تقم بالتدوير

اختبر باحث الأمن Kevin Beaumont بيانات اعتماد من إحدى المؤسسات التي ادعت أنها قامت بتدوير كل شيء. وكانت نتيجته: "كلها تقريباً كانت صالحة للعمل" .

بيانات اعتماد غير قابلة للتحديد

تحتوي حصة كبيرة من الملفات المسربة على كلمات مرور قواعد بيانات ومفاتيح API وبيانات اعتماد سحابية بدون أي بريد إلكتروني للشركة أو اسم نطاق مخصص أو اسم خادم داخلي لتحديد المؤسسة المالكة. لا يمكن لهذه المؤسسات معرفة أنها متأثرة .

التعرض مقابل الاختراق المؤكد

يعكس رقم أكثر من 2500 التعرض المُعاد بناؤه، وليس الاختراق المؤكد لكل مؤسسة. تؤكد CloudSEK على أن كل مؤسسة مدرجة يجب أن تتحقق بشكل مستقل . لكن مجموعة البيانات أصبحت الآن في أيدي العديد من شركات استخبارات التهديدات، والدورة الطبيعية للاختراق تعني توقع تداول أوسع.

النقاط الرئيسية للمؤسسات

أي مؤسسة:

• قامت بتشغيل LiteLLM الإصدارين 1.82.7 أو 1.82.8
• كان لديها خطوط أنابيب CI/CD تستهلك تلك الإصدارات
• استخدمت الماسح الضوئي Trivy المخترق بين 19 و24 مارس 2026

...يجب أن تتعامل مع جميع الأسرار التي يمكن الوصول إليها من تلك البيئة على أنها مخترقة وتدويرها فوراً، حتى لو لم يتم اكتشاف أي اختراق واضح . يعزز التحذير العاجل لمكتب التحقيقات الفيدرالي هذا: تعامل مع بيانات الاعتماد المسربة كمخاطر دائمة لأن الجهات الفاعلة المرتبطة من المحتمل أن تستخدمها كأسلحة .

أظهرت TeamPCP أن رمزاً واحداً لم يُلغَ، على عمق ثلاث أدوات يمكن أن يحوّل تسريب بيانات اعتماد واحدة إلى اختراق على مستوى النظام البيئي بأكمله. هجوم LiteLLM هو تذكير صارخ بأنه في سلاسل توريد البرمجيات الحديثة، الأداة التي تثق بها للعثور على الثغرات يمكن أن تصبح هي نفسها الثغرة.

المقياس الرئيسي	القيمة
نافذة التعرض للحزمة الضارة	حوالي 40 دقيقة
المؤسسات المعرضة محتملاً	أكثر من 2500
خطوط أنابيب CI/CD المعرضة	حوالي 434000
مُخرّجات المشغّل المُسنَدة (Hudson Rock)	118829
حجم الأرشيف	153 غيغابايت
إجمالي الملفات	433909
النطاقات المؤسسية المُسنَدة (Hudson Rock)	2488
الضحايا المعروفون المذكورون	أكثر من 25 مؤسسة كبرى