Jak 40minutové okno na PyPI odhalilo tajemství více než 2 500 společností včetně Amazonu, Microsoftu a Cisco

TeamPCP použil odcizené PyPI publikační přihlašovací údaje k přímému pushnutí těchto verzí na PyPI, čímž obešel normální GitHubový release proces LiteLLM . Skupina do stejného okna také natěsnala další škodlivou aktivitu, včetně defacementu 15 organizačních repozitářů, smazání 182 osobních repozitářů a zpřístupnění 70 soukromých repozitářů BerriAI (mateřské organizace LiteLLM) .

Jak útok fungoval: Kaskádovité narušení dodavatelského řetězce

Útok je učebnicovým příkladem kaskádovitého narušení dodavatelského řetězce. TeamPCP nezaútočil na LiteLLM přímo. Místo toho zneužil řetězec důvěry:

1. První kompromitace: Trivy – 19. března získal TeamPCP přístup k GitHub Actions pipeline nástroje Trivy pomocí přihlašovacích údajů, které byly rotovány, ale ne zcela zneplatněny . Publikovali škodlivé verze Trivy, které vkládaly payload pro krádež přihlašovacích údajů do každého CI/CD runneru, který nainstaloval kompromitovaný skener.
2. Druhá kompromitace: LiteLLM – Vlastní CI/CD pipeline LiteLLM automaticky instalovala skener zranitelností Trivy jako bezpečnostní krok. Když pipeline běžela 24. března, stáhla otrávenou verzi Trivy. Škodlivý payload uvnitř Trivy prohledal prostředí CI runneru a extrahoval PyPI publikační tokeny a GitHub přihlašovací údaje LiteLLM .
3. Třetí kompromitace: Uživatelé PyPI – Vyzbrojeni PyPI přihlašovacími údaji LiteLLM, TeamPCP pushnul škodlivé verze LiteLLM na PyPI. Každý vývojář nebo organizace, která spustila

   pip install litellm==1.82.7

   nebo 1.82.8 – nebo jejíž CI/CD pipeline automaticky stáhla nejnovější verzi – měla své build prostředí prohledáno na tajemství.

Jak poznamenala CloudSEK, „útok pocházel ze závislosti Trivy použité v [LiteLLM] CI/CD bezpečnostním skenovacím workflow" . Pro samotný kompromit LiteLLM neexistuje CVE, protože nic v kódu LiteLLM nebylo zranitelné; zranitelnost byla ve vztahu důvěry mezi build pipeline LiteLLM a jejím bezpečnostním skenovacím nástrojem .

Rozsah krádeže dat

Plný rozsah krádeže dat se ukázal až o pět měsíců později, kdy několik firem zabývajících se analýzou hrozeb publikovalo své analýzy:

• Hudson Rock nezávisle získal a analyzoval surový exfiltrační archiv útočníků: 153 GB RAR soubor obsahující přesně 433 909 souborů a 118 829 dumpů CI runnerů, přiřazených k 2 488 firemním doménám .
• CloudSEK rekonstruoval přibližně 434 000 zachycených CI/CD pipeline souborů a identifikoval přes 2 500 potenciálně ohrožených organizací . CloudSEK popsal incident jako největší útok na dodavatelský řetězec zaměřený na AI infrastrukturu identifikovaný v roce 2026 .
• Kompromitovaná data zahrnovala přihlašovací údaje k cloudovým platforem (AWS, GCP, Azure), API klíče k AI providerům (OpenAI, Anthropic, Cohere atd.), soukromé SSH klíče, Kubernetes service account tokeny, přihlašovací údaje k Docker registrům, .env soubory, připojovací řetězce k databázím, Slack signing secrets, Salesforce client secrets a Git přihlašovací údaje .

FBI vydala 2. července 2026 bleskové varování (FLASH-20260702-01) s upozorněním, že přidružení aktéři pravděpodobně zbraně zneužijí přihlašovací údaje exfiltrované během kampaně TeamPCP dlouho po počátečním kompromitu. Doporučila organizacím rotovat CI/CD tajemství, publikační tokeny a cloudové přihlašovací údaje přístupné během příslušných expozičních oken .

Zasažené organizace

Ohrožené domény zahrnovaly velké podniky napříč technologickým, finančním, průmyslovým a telekomunikačním sektorem. Potvrzené jmenované organizace z více zdrojů zahrnují :

• Technologie: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (dříve Twitter), Zscaler, Roku, Epic Games
• Průmysl: Volkswagen, Siemens, FedEx
• Finance: S&P Global, Deloitte
• Telekomunikace: BT Group, Vodafone

Datový soubor CloudSEK obsahoval „shody s vysokou mírou jistoty" spojené s firemními doménami, repozitáři, přihlašovacími údaji nebo infrastrukturou patřící těmto organizacím . Hudson Rock poznamenal, že archiv obsahoval přihlašovací údaje „stále platné" pro mnohé z těchto organizací měsíce po incidentu .

Post-incidentní testování Kevinem Beaumontem

Pět měsíců po průniku provedl nezávislý bezpečnostní výzkumník Kevin Beaumont zásadní kontrolu reality. Po zprávě Ars Technica o průniku Beaumont otestoval kompromitované přihlašovací údaje od velké americké technologické společnosti, která veřejně tvrdila, že „vše rotovala." Při použití politiky odpovědného zveřejnění otestoval přihlašovací údaje a zjistil, že „téměř každý fungoval" – to znamená, že organizace ve skutečnosti neprovedla rotaci svých kompromitovaných tajemství, přestože tvrdila opak .

Toto zjištění podtrhuje zásadní lekci: prohlášení o rotaci přihlašovacích údajů a skutečná rotace přihlašovacích údajů jsou často dvě různé věci a odcizené přihlašovací údaje z tohoto útoku zůstávají živou hrozbou.

Naléhavé doporučení

Považujte všechna tajemství, API klíče, cloudové přihlašovací údaje, SSH klíče, Kubernetes konfigurace a jakákoli jiná citlivá data, která byla přístupná verzím LiteLLM 1.82.7 nebo 1.82.8, za plně kompromitovaná. Okamžitá rotace každého přihlašovacího údaje, který mohl být ohrožen během okna 24. března 2026, je nezbytná – bez ohledu na to, zda se organizace domnívá, že je již rotovala .

Útok je považován za největší narušení dodavatelského řetězce AI infrastruktury v roce 2026 a odcizená data zůstávají přetrvávající hrozbou pro následné průniky, jak ukázalo Beaumontovo testování přihlašovacích údajů . FBI varovala, že následné cílení je pravděpodobné, a pokladnice platných přihlašovacích údajů v 153GB archivu je darem, který se nepřestává rozdávat pro hrozivé aktéry.

Pokud vaše organizace používala LiteLLM jakýmkoli způsobem 24. března 2026, předpokládejte kompromitaci. Zkontrolujte přítomnost škodlivého .pth souboru (litellm_init.pth) a perzistentního backdooru (~/.config/sysmon/sysmon.py), ověřte nainstalovanou verzi pomocí

pip show litellm