40-minutters angreb afslørede 2.500+ virksomheder: Den fulde tidslinje over marts 2026 LiteLLM supply chain-bruddet

TeamPCP brugte de stjålne PyPI-udgivelseslegitimationsoplysninger til at skubbe disse udgivelser direkte til PyPI og omgik derved LiteLLM's normale GitHub-baserede udgivelsesproces . Gruppen komprimerede også yderligere ondsindet aktivitet i det samme vindue, herunder at deface 15 organisationsdepoter, slette 182 personlige depoter og gøre 70 private BerriAI-depoter (LiteLLM's moderselskab) offentlige .

Sådan virkede angrebet: En kaskadende supply chain-kompromittering

Angrebet er et skoleeksempel på en kaskadende supply chain-kompromittering. TeamPCP angreb ikke LiteLLM direkte. I stedet udnyttede de en tillidskæde:

1. Første kompromittering: Trivy – Den 19. marts fik TeamPCP adgang til Trivy GitHub Actions-pipelinen ved hjælp af en legitimationsoplysning, der var blevet roteret, men ikke fuldstændigt tilbagekaldt . De udgav ondsindede Trivy-udgivelser, der injicerede en payload til tyveri af legitimationsoplysninger i enhver CI/CD-runner, der installerede den kompromitterede scanner.
2. Anden kompromittering: LiteLLM – LiteLLM's egen CI/CD-pipeline installerede automatisk Trivy-sårbarhedsscanneren som et sikkerhedstrin. Da pipelinen kørte den 24. marts, trak den den forgiftede Trivy-version. Den ondsindede payload inde i Trivy skrabede CI-runnerens miljø og udtrak LiteLLM's PyPI-udgivelsestokens og GitHub-legitimationsoplysninger .
3. Tredje kompromittering: PyPI-brugere – Bevæbnet med LiteLLM's PyPI-legitimationsoplysninger skubbede TeamPCP ondsindede LiteLLM-udgivelser til PyPI. Enhver udvikler eller organisation, der kørte

   pip install litellm==1.82.7

   eller 1.82.8 – eller hvis CI/CD-pipeline automatisk trak den nyeste version – ville få deres byggemiljø skrabet for hemmeligheder.

Som CloudSEK bemærkede, "stammede angrebet fra Trivy-afhængigheden, der blev brugt i [LiteLLM's] CI/CD-sikkerhedsscanningsworkflow" . Der er ingen CVE for selve LiteLLM-kompromitteringen, fordi intet i LiteLLM's egen kode var sårbart; sårbarheden lå i tillidsforholdet mellem LiteLLM's byggepipeline og dets sikkerhedsscanningsværktøj .

Omfanget af dataeksfiltreringen

Det fulde omfang af datatyveriet blev først klart fem måneder senere, da flere trusselsanalysefirmaer offentliggjorde deres analyser:

• Hudson Rock fik uafhængigt adgang til og analyserede angribernes rå eksfiltreringsarkiv: en 153 GB RAR-fil indeholdende præcis 433.909 filer og 118.829 CI-runner-dumps, tilskrevet 2.488 virksomhedsdomæner .
• CloudSEK rekonstruerede cirka 434.000 indfangede CI/CD-pipeline-filer og identificerede over 2.500 potentielt eksponerede organisationer . CloudSEK beskrev hændelsen som det største supply chain-angreb, der hidtil er identificeret i 2026, rettet mod AI-infrastruktur .
• De kompromitterede data omfattede cloud-platformlegitimationsoplysninger (AWS, GCP, Azure), AI-udbyder API-nøgler (OpenAI, Anthropic, Cohere osv.), SSH-private nøgler, Kubernetes-servicekontotokens, Docker-registreringslogins, .env-filer, databaseforbindelsesstrenge, Slack-signeringshemmeligheder, Salesforce-klienthemmeligheder og Git-legitimationsoplysninger .

FBI udsendte en flash-advarsel den 2. juli 2026 (FLASH-20260702-01), der advarede om, at tilknyttede aktører sandsynligvis vil bevæbne legitimationsoplysninger, der blev eksfiltreret under TeamPCP-kampagnen, længe efter det oprindelige kompromis. Den bad organisationer om at rotere CI/CD-hemmeligheder, udgivelsestokens og cloud-legitimationsoplysninger, der var tilgængelige i de relevante eksponeringsvinduer .

Berørte organisationer

De eksponerede domæner omfattede store virksomheder inden for teknologi, finans, industri og telekommunikation. Bekræftede navngivne organisationer fra flere kilder inkluderer :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (tidligere Twitter), Zscaler, Roku, Epic Games
• Industri: Volkswagen, Siemens, FedEx
• Finans: S&P Global, Deloitte
• Telekom: BT Group, Vodafone

CloudSEK's datasæt indeholdt "højkonfidensmatch" knyttet til virksomhedsdomæner, depoter, legitimationsoplysninger eller infrastruktur, der tilhører disse organisationer . Hudson Rock bemærkede, at arkivet indeholdt legitimationsoplysninger, der "stadig var gyldige" for mange af disse organisationer flere måneder efter hændelsen .

Kevin Beaumonts test efter hændelsen

Fem måneder efter bruddet gennemførte den uafhængige sikkerhedsforsker Kevin Beaumont en afgørende virkelighedstjek. Efter Ars Technicas rapport om bruddet testede Beaumont kompromitterede legitimationsoplysninger fra en stor amerikansk teknologivirksomhed, der offentligt havde erklæret, at den havde "roteret alt." Ved hjælp af en ansvarlig offentliggørelsespolitik testede han legitimationsoplysningerne og fandt, at "næsten hver eneste virkede" – hvilket betyder, at organisationen ikke faktisk havde roteret sine kompromitterede hemmeligheder på trods af at have hævdet det modsatte .

Dette fund understreger en kritisk lektie: udsagn om rotation af legitimationsoplysninger og faktisk rotation af legitimationsoplysninger er ofte to forskellige ting, og de stjålne legitimationsoplysninger fra dette angreb forbliver en levende trussel.

Haster anbefaling

Behandl alle hemmeligheder, API-nøgler, cloud-legitimationsoplysninger, SSH-nøgler, Kubernetes-konfigurationer og andre følsomme data, der var tilgængelige for LiteLLM version 1.82.7 eller 1.82.8, som fuldt kompromitterede. Øjeblikkelig rotation af hver eneste legitimationsoplysning, der kunne have været eksponeret under vinduet den 24. marts 2026, er afgørende – uanset om en organisation mener, at den allerede har roteret dem .

Angrebet betragtes som det største AI-infrastruktur-supply-chain-brud i 2026, og de stjålne data forbliver en vedvarende trussel for opfølgende indtrængen, som demonstreret af Beaumonts test af legitimationsoplysninger . FBI har advaret om, at opfølgende målretning er sandsynlig, og skatkammeret af gyldige legitimationsoplysninger i det 153 GB store arkiv er en gave, der bliver ved med at give for trusselsaktører.

Hvis din organisation brugte LiteLLM i nogen kapacitet den 24. marts 2026, så antag kompromittering. Tjek for den ondsindede .pth-fil (litellm_init.pth) og persistens-backdooren (~/.config/sysmon/sysmon.py), verificer den installerede version med

pip show litellm