Der LiteLLM-Angriff vom März 2026: Wie TeamPCP die Lieferkette kompromittierte, um 2.500+ Unternehmen zu infiltrieren

Chronologie des Angriffs

Am 19. März 2026 begann der Angriff: Die Hackergruppe TeamPCP – auch als UNC6780 bei Google bekannt – kompromittierte Aqua Securitys Trivy, einen weit verbreiteten Open-Source-Sicherheitsscanner, indem sie schädlichen Code in eine Trivy-Abhängigkeit einschleuste . Dazu nutzte die Gruppe unvollständig rotierte Anmeldedaten bei Aqua Security aus .

Fünf Tage später, am 24. März 2026 um 10:39 UTC, veröffentlichte TeamPCP die ersten manipulierten LiteLLM-Pakete auf PyPI, dem offiziellen Python-Paket-Repository. LiteLLM ist ein Open-Source-KI-Proxy-Gateway, das zahlreiche Unternehmen in ihren CI/CD-Pipelines einsetzen . Die Version 1.82.7 und kurz darauf 1.82.8 wurden aus einer Build-Pipeline veröffentlicht, die blind dem vergifteten Trivy-Scanner vertraute .

So funktionierte der Angriff: TeamPCP nutzte eine kaskadierende Lieferketten-Kompromittierung: Zuerst wurde Trivy infiziert – ein Tool, das als Sicherheitsscanner Teil unzähliger CI/CD-Pipelines ist. Als LiteLLMs eigene CI/CD-Pipeline beim Build-Prozess den manipulierten Trivy-Scanner installierte, erhielt die Schadsoftware Zugriff auf die Build-Umgebung und stahl die PyPI-Publishing-Tokens von LiteLLM . Damit konnte TeamPCP direkt schädliche LiteLLM-Versionen auf PyPI veröffentlichen, ohne den normalen GitHub-basierten Release-Prozess von LiteLLM zu umgehen .

Bereits um 11:19 UTC stellte PyPI das LiteLLM-Projekt unter Quarantäne – nur etwa 40 Minuten nach der ersten Veröffentlichung . Allerdings wurden die kompromittierten Pakete in diesem Zeitfenster bereits über 119.000 Mal heruntergeladen . Das LiteLLM-Team riet dazu, alle Installationen bis 16:00 UTC desselben Tages als verdächtig zu betrachten .

Umfang der Datenexfiltration

Die Schadsoftware in den LiteLLM-Paketen war darauf ausgelegt, systematisch sensible Daten aus den Build-Umgebungen zu stehlen: Cloud-Zugangsdaten (AWS, Azure, GCP), SSH-Keys, Kubernetes-Konfigurationen, Datenbank-Zugangsdaten, API-Keys und andere Secrets . Diese Daten wurden an einen von TeamPCP kontrollierten Remote-Server gesendet .

Die Sicherheitsfirma Hudson Rock analysierte das von den Angreifern erbeutete Archiv: 153 GB mit 433.909 Dateien, darunter 118.829 CI-Runner-Dumps, die 2.488 Unternehmensdomänen zugeordnet werden konnten . CloudSEK, ein weiteres Threat-Intelligence-Unternehmen, rekonstruierte etwa 434.000 erfasste CI/CD-Pipeline-Dateien und identifizierte über 2.500 potenziell betroffene Organisationen .

Das FBI warnte in einer Flash-Advisory (FLASH-20260702-01) vom 2. Juli 2026 vor nachfolgenden gezielten Angriffen unter Verwendung der gestohlenen Daten .

Betroffene Organisationen

Die gestohlenen Daten umfassen Zugangsdaten führender Unternehmen aus Technologie, Finanzen, Industrie und Telekommunikation. Namentlich genannte Organisationen aus mehreren Quellen sind unter anderem:

Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens, BT Group, Epic Games, X Corp, Vodafone und Zscaler .

Hudson Rock betonte, dass viele der gestohlenen Zugangsdaten Monate nach dem Vorfall immer noch gültig waren .

Kevin Beaumonts Post-Incident-Tests

Nach einem Bericht von Ars Technica über den Vorfall testete der Sicherheitsexperte Kevin Beaumont kompromittierte Zugangsdaten eines großen US-Technologieunternehmens, das behauptet hatte, "alles rotiert" zu haben. Sein Test ergab: "Fast jedes einzelne funktionierte" – das Unternehmen hatte seine kompromittierten Secrets trotz gegenteiliger Behauptungen nicht tatsächlich ausgetauscht .

Dringende Handlungsempfehlung

Behandeln Sie alle Secrets, API-Keys, Cloud-Zugangsdaten, SSH-Schlüssel, Kubernetes-Konfigurationen und andere sensible Daten, die für LiteLLM Version 1.82.7 oder 1.82.8 zugänglich waren, als vollständig kompromittiert. Eine sofortige Rotation aller potenziell exponierten Credentials ist unerlässlich – unabhängig davon, ob eine Organisation glaubt, sie bereits ausgetauscht zu haben . Der Angriff gilt als der größte AI-Infrastruktur-Lieferkettenbruch des Jahres 2026, und die gestohlenen Daten bleiben eine anhaltende Bedrohung für Folgeeindringlinge, wie Beaumonts Tests deutlich gezeigt haben .