LiteLLM-forsyningskædeangreb: Omfang, konsekvenser og risikoen for uudskiftede hemmeligheder

I marts 2026 udførte trusselsgruppen TeamPCP et kaskadeangreb på forsyningskæden, der startede med en sikkerhedsscanner og endte med kompromitteringen af LiteLLM, en af de mest populære open source AI-proxy-pakker i Python-økosystemet. Bruddet potentielt eksponerede over 2.500 organisationer, kompromitterede over 434.000 CI/CD-pipelines og eksfiltrerede 433.909 legitimationsfiler i et 153 GB arkiv . Her er, hvad der skete, hvem der blev ramt, og hvorfor faren langt fra er ovre.

Sådan udførte TeamPCP femdages-kaskaden

TeamPCP (også kendt som PCPcat, ShellForce og DeadCatx3) er en økonomisk motiveret cyberkriminel gruppe, der har været aktiv siden midten af 2025 . Deres kampagne i marts 2026 var bemærkelsesværdig for sin kaskadearkitektur: legitimationsoplysninger stjålet fra ét offers CI/CD-pipeline blev adgangsvektoren til det næste mål . Kaskaden udfoldede sig over fem dage:

Dag 1: Trivy (19. marts)

TeamPCP fik først adgang til Aqua Securitys infrastruktur ved at udnytte en pull_request_target workflow-fejlkonfiguration – en "PwnRequest"-sårbarhed . De opsnappede et nyligt roteret personligt adgangstoken til aqua-bot-tjenestekontoen og tvang-pushede versionstags til at pege på ondsindede commits. Seksoghalvfjerds af 77 trivy-action-tags og alle 7 setup-trivy-tags blev kapret . Dette første kompromis spores som CVE-2026-33634 (CVSS 9.8 Kritisk) .

Dag 2: KICS (23. marts)

Ved hjælp af tokens stjålet fra Trivy-ofre autentificerede TeamPCP sig som Checkmarx' cx-plugins-releases-tjenestekonto og pushede ondsindede KICS-udgivelser .

Dag 3: LiteLLM (24. marts)

LiteLLMs byggepipeline installerede automatisk den kompromitterede Trivy-scanner, hvilket gav malwaren læseadgang til runner-miljøet. TeamPCP stjal LiteLLMs PyPI-publiceringstokens og udgav to ondsindede udgivelser – version 1.82.7 og 1.82.8 – på PyPI . De ondsindede pakker var tilgængelige i kun cirka 40 minutter, før de blev opdaget .

Malwaren

LiteLLM-malwaren deployerede en tretrins nyttelast :

• En legitimationshøster, der målrettede over 50 kategorier af hemmeligheder
• Et Kubernetes lateralt bevægelsesværktøj, der eskalerede til root og deployerede privilegerede pods
• En vedvarende bagdør til fjernudførelse af kode

Malwaren brugte .pth-filinjektion til automatisk at udføre ved hver Python-fortolker-start, hvilket krævede ingen eksplicit import – hvilket gjorde den særligt vanskelig at opdage . På kompromitterede runners – sporet af Google som SANDCLOCK – fejede nyttelasten SSH-nøgler, AWS/GCP/Azure-legitimationsoplysninger, Kubernetes-tjenestekontotokens og databaseadgangskoder .

Berørte organisationer

Kilde	Tal
CloudSEK (rekonstrueret eksponering)	Over 2.500 organisationer potentielt eksponeret
CloudSEK (CI/CD-pipelines)	~434.000 pipeline-kørsler berørt
Hudson Rock (attribuerede CI-runner-dumps)	118.829 dumps fra 2.488 virksomhedsdomæner
Arkivstørrelse	153 GB, 433.909 filer

Navngivne ofre identificeret af flere trusselsanalysefirmaer inkluderer :

Teknologi: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Virksomheder: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekom/Medier: Orange, BT Group, SiriusXM/AdsWizz
Andre: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Europa-Kommissionen blev også brudt via det indledende Trivy-kompromis, hvilket resulterede i eksfiltrering af AWS-administrationslegitimationsoplysninger og ~340 GB ukomprimerede data stjålet, hvilket påvirkede 42 interne kunder og 29 yderligere EU-enheder .

Omfanget af eksponering af legitimationsoplysninger

De stjålne datatyper inkluderer :

• Cloud IAM-nøgler (AWS, GCP, Azure)
• SSH-nøgler og Kubernetes-hemmeligheder
• Databaseadgangskoder og Salesforce-klienthemmeligheder
• Slack-signeringshemmeligheder og miljøvariabler
• AI-udbyder API-nøgler (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI udsendte en FLASH-advisering den 2. juli 2026, der advarede om, at organisationer ramt af kampagnen bør behandle eksfiltrerede data og legitimationsoplysninger som en vedvarende risiko, fordi tilknyttede aktører sandsynligvis vil bevæbne dem .

Den igangværende risiko fra uudskiftede hemmeligheder

På trods af bruddets alvor er risikoen langt fra inddæmmet af flere grunde:

Arkivet er endnu ikke lækket

Hudson Rock, som har fået og analyseret arkivet, rapporterer, at 153 GB-datasættet ikke cirkulerer bredt endnu – og kalder det "et kritisk vindue af mulighed" for organisationer til at rotere nøgler, før det til sidst lækker .

Mange organisationer har ikke roteret

Sikkerhedsforsker Kevin Beaumont testede legitimationsoplysninger fra én organisation, der hævdede at have roteret alt. Hans fund: "Næsten hver eneste en virkede" .

Uidentificerbare legitimationsoplysninger

En stor del af de dumpede filer indeholder databaseadgangskoder, API-nøgler og cloud-legitimationsoplysninger uden nogen virksomheds-e-mail, brugerdefineret domæne eller internt servernavn til at identificere den ejende organisation. Disse organisationer kan ikke vide, at de er berørt .

Eksponering vs. bekræftet kompromis

Tallet på over 2.500 afspejler rekonstrueret eksponering, ikke bekræftet kompromis for hver organisation. CloudSEK understreger, at hver enkelt opført organisation bør verificere uafhængigt . Men datasættet er nu i hænderne på flere trusselsanalysefirmaer, og den naturlige cyklus af et brud betyder, at bredere cirkulation forventes.

Vigtige pointer for organisationer

Enhver organisation, der:

• Kørte LiteLLM version 1.82.7 eller 1.82.8
• Havde CI/CD-pipelines, der forbruger disse versioner
• Brugte den kompromitterede Trivy-scanner mellem 19.-24. marts 2026

...bør behandle alle hemmeligheder, der er tilgængelige for det pågældende miljø, som kompromitterede og rotere dem straks, selvom der ikke er opdaget noget indlysende brud . FBIs FLASH-advisering understreger dette: behandl eksfiltrerede legitimationsoplysninger som en vedvarende risiko, fordi tilknyttede aktører sandsynligvis vil bevæbne dem .

TeamPCP demonstrerede, at ét ikke-revokeret token, tre værktøjer dybt kan omdanne et enkelt læk af legitimationsoplysninger til eksponering på tværs af et helt økosystem. LiteLLM-angrebet er en skarp påmindelse om, at i moderne softwareforsyningskæder kan det værktøj, du stoler på til at finde sårbarheder, selv blive sårbarheden.

Nøgletal	Værdi
Eksponeringsvindue for ondsindet pakke	~40 minutter
Potentielt eksponerede organisationer	Over 2.500
Eksponerede CI/CD-pipelines	~434.000
Attribuerede CI-runner-dumps (Hudson Rock)	118.829
Arkivstørrelse	153 GB
Samlet antal filer	433.909
Attribuerede virksomhedsdomæner (Hudson Rock)	2.488
Kendte navngivne ofre	25+ store virksomheder