Am 19. März 2026 kompromittierte TeamPCP den Aqua Security Scanner Trivy – die Basis für den anschließenden Angriff auf LiteLLM.
Am 24. März 2026, 10:39 UTC: Die manipulierten LiteLLM Versionen 1.82.7 und 1.82.8 wurden auf PyPI veröffentlicht und 119.000 Mal heruntergeladen.
Nach nur 40 Minuten wurde das Projekt von PyPI unter Quarantäne gestellt – LiteLLM rät jedoch, alle Installationen bis 16:00 UTC als kompromittiert zu betrachten.
Die Schadsoftware exfiltrierte Cloud Zugangsdaten, SSH Keys, Kubernetes Konfigurationen, Datenbank Passwörter und API Keys an die Server von TeamPCP.
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Chronologie des Angriffs
Am 19. März 2026 begann der Angriff: Die Hackergruppe TeamPCP – auch als UNC6780 bei Google bekannt – kompromittierte Aqua Securitys Trivy, einen weit verbreiteten Open-Source-Sicherheitsscanner, indem sie schädlichen Code in eine Trivy-Abhängigkeit einschleuste . Dazu nutzte die Gruppe unvollständig rotierte Anmeldedaten bei Aqua Security aus .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Der LiteLLM-Angriff vom März 2026: Wie TeamPCP die Lieferkette kompromittierte, um 2.500+ Unternehmen zu infiltrieren“?
Am 19. März 2026 kompromittierte TeamPCP den Aqua Security Scanner Trivy – die Basis für den anschließenden Angriff auf LiteLLM.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 19. März 2026 kompromittierte TeamPCP den Aqua Security Scanner Trivy – die Basis für den anschließenden Angriff auf LiteLLM. Am 24. März 2026, 10:39 UTC: Die manipulierten LiteLLM Versionen 1.82.7 und 1.82.8 wurden auf PyPI veröffentlicht und 119.000 Mal heruntergeladen.
Was soll ich als nächstes in der Praxis tun?
Nach nur 40 Minuten wurde das Projekt von PyPI unter Quarantäne gestellt – LiteLLM rät jedoch, alle Installationen bis 16:00 UTC als kompromittiert zu betrachten.
Am 19. März 2026 kompromittierte TeamPCP den Aqua Security Scanner Trivy – die Basis für den anschließenden Angriff auf LiteLLM.
Am 24. März 2026, 10:39 UTC: Die manipulierten LiteLLM Versionen 1.82.7 und 1.82.8 wurden auf PyPI veröffentlicht und 119.000 Mal heruntergeladen.
Nach nur 40 Minuten wurde das Projekt von PyPI unter Quarantäne gestellt – LiteLLM rät jedoch, alle Installationen bis 16:00 UTC als kompromittiert zu betrachten.
Die Schadsoftware exfiltrierte Cloud Zugangsdaten, SSH Keys, Kubernetes Konfigurationen, Datenbank Passwörter und API Keys an die Server von TeamPCP.
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Chronologie des Angriffs
Am 19. März 2026 begann der Angriff: Die Hackergruppe TeamPCP – auch als UNC6780 bei Google bekannt – kompromittierte Aqua Securitys Trivy, einen weit verbreiteten Open-Source-Sicherheitsscanner, indem sie schädlichen Code in eine Trivy-Abhängigkeit einschleuste . Dazu nutzte die Gruppe unvollständig rotierte Anmeldedaten bei Aqua Security aus .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Der LiteLLM-Angriff vom März 2026: Wie TeamPCP die Lieferkette kompromittierte, um 2.500+ Unternehmen zu infiltrieren“?
Am 19. März 2026 kompromittierte TeamPCP den Aqua Security Scanner Trivy – die Basis für den anschließenden Angriff auf LiteLLM.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 19. März 2026 kompromittierte TeamPCP den Aqua Security Scanner Trivy – die Basis für den anschließenden Angriff auf LiteLLM. Am 24. März 2026, 10:39 UTC: Die manipulierten LiteLLM Versionen 1.82.7 und 1.82.8 wurden auf PyPI veröffentlicht und 119.000 Mal heruntergeladen.
Was soll ich als nächstes in der Praxis tun?
Nach nur 40 Minuten wurde das Projekt von PyPI unter Quarantäne gestellt – LiteLLM rät jedoch, alle Installationen bis 16:00 UTC als kompromittiert zu betrachten.
Fünf Tage später, am 24. März 2026 um 10:39 UTC, veröffentlichte TeamPCP die ersten manipulierten LiteLLM-Pakete auf PyPI, dem offiziellen Python-Paket-Repository. LiteLLM ist ein Open-Source-KI-Proxy-Gateway, das zahlreiche Unternehmen in ihren CI/CD-Pipelines einsetzen . Die Version 1.82.7 und kurz darauf 1.82.8 wurden aus einer Build-Pipeline veröffentlicht, die blind dem vergifteten Trivy-Scanner vertraute .
So funktionierte der Angriff: TeamPCP nutzte eine kaskadierende Lieferketten-Kompromittierung: Zuerst wurde Trivy infiziert – ein Tool, das als Sicherheitsscanner Teil unzähliger CI/CD-Pipelines ist. Als LiteLLMs eigene CI/CD-Pipeline beim Build-Prozess den manipulierten Trivy-Scanner installierte, erhielt die Schadsoftware Zugriff auf die Build-Umgebung und stahl die PyPI-Publishing-Tokens von LiteLLM . Damit konnte TeamPCP direkt schädliche LiteLLM-Versionen auf PyPI veröffentlichen, ohne den normalen GitHub-basierten Release-Prozess von LiteLLM zu umgehen .
Bereits um 11:19 UTC stellte PyPI das LiteLLM-Projekt unter Quarantäne – nur etwa 40 Minuten nach der ersten Veröffentlichung . Allerdings wurden die kompromittierten Pakete in diesem Zeitfenster bereits über 119.000 Mal heruntergeladen. Das LiteLLM-Team riet dazu, alle Installationen bis 16:00 UTC desselben Tages als verdächtig zu betrachten .
Umfang der Datenexfiltration
Die Schadsoftware in den LiteLLM-Paketen war darauf ausgelegt, systematisch sensible Daten aus den Build-Umgebungen zu stehlen: Cloud-Zugangsdaten (AWS, Azure, GCP), SSH-Keys, Kubernetes-Konfigurationen, Datenbank-Zugangsdaten, API-Keys und andere Secrets . Diese Daten wurden an einen von TeamPCP kontrollierten Remote-Server gesendet .
Die Sicherheitsfirma Hudson Rock analysierte das von den Angreifern erbeutete Archiv: 153 GB mit 433.909 Dateien, darunter 118.829 CI-Runner-Dumps, die 2.488 Unternehmensdomänen zugeordnet werden konnten . CloudSEK, ein weiteres Threat-Intelligence-Unternehmen, rekonstruierte etwa 434.000 erfasste CI/CD-Pipeline-Dateien und identifizierte über 2.500 potenziell betroffene Organisationen.
Das FBI warnte in einer Flash-Advisory (FLASH-20260702-01) vom 2. Juli 2026 vor nachfolgenden gezielten Angriffen unter Verwendung der gestohlenen Daten .
Betroffene Organisationen
Die gestohlenen Daten umfassen Zugangsdaten führender Unternehmen aus Technologie, Finanzen, Industrie und Telekommunikation. Namentlich genannte Organisationen aus mehreren Quellen sind unter anderem:
Hudson Rock betonte, dass viele der gestohlenen Zugangsdaten Monate nach dem Vorfall immer noch gültig waren .
Kevin Beaumonts Post-Incident-Tests
Nach einem Bericht von Ars Technica über den Vorfall testete der Sicherheitsexperte Kevin Beaumont kompromittierte Zugangsdaten eines großen US-Technologieunternehmens, das behauptet hatte, "alles rotiert" zu haben. Sein Test ergab: "Fast jedes einzelne funktionierte" – das Unternehmen hatte seine kompromittierten Secrets trotz gegenteiliger Behauptungen nicht tatsächlich ausgetauscht .
Dringende Handlungsempfehlung
Behandeln Sie alle Secrets, API-Keys, Cloud-Zugangsdaten, SSH-Schlüssel, Kubernetes-Konfigurationen und andere sensible Daten, die für LiteLLM Version 1.82.7 oder 1.82.8 zugänglich waren, als vollständig kompromittiert. Eine sofortige Rotation aller potenziell exponierten Credentials ist unerlässlich – unabhängig davon, ob eine Organisation glaubt, sie bereits ausgetauscht zu haben . Der Angriff gilt als der größte AI-Infrastruktur-Lieferkettenbruch des Jahres 2026, und die gestohlenen Daten bleiben eine anhaltende Bedrohung für Folgeeindringlinge, wie Beaumonts Tests deutlich gezeigt haben .
Fünf Tage später, am 24. März 2026 um 10:39 UTC, veröffentlichte TeamPCP die ersten manipulierten LiteLLM-Pakete auf PyPI, dem offiziellen Python-Paket-Repository. LiteLLM ist ein Open-Source-KI-Proxy-Gateway, das zahlreiche Unternehmen in ihren CI/CD-Pipelines einsetzen . Die Version 1.82.7 und kurz darauf 1.82.8 wurden aus einer Build-Pipeline veröffentlicht, die blind dem vergifteten Trivy-Scanner vertraute .
So funktionierte der Angriff: TeamPCP nutzte eine kaskadierende Lieferketten-Kompromittierung: Zuerst wurde Trivy infiziert – ein Tool, das als Sicherheitsscanner Teil unzähliger CI/CD-Pipelines ist. Als LiteLLMs eigene CI/CD-Pipeline beim Build-Prozess den manipulierten Trivy-Scanner installierte, erhielt die Schadsoftware Zugriff auf die Build-Umgebung und stahl die PyPI-Publishing-Tokens von LiteLLM . Damit konnte TeamPCP direkt schädliche LiteLLM-Versionen auf PyPI veröffentlichen, ohne den normalen GitHub-basierten Release-Prozess von LiteLLM zu umgehen .
Bereits um 11:19 UTC stellte PyPI das LiteLLM-Projekt unter Quarantäne – nur etwa 40 Minuten nach der ersten Veröffentlichung . Allerdings wurden die kompromittierten Pakete in diesem Zeitfenster bereits über 119.000 Mal heruntergeladen. Das LiteLLM-Team riet dazu, alle Installationen bis 16:00 UTC desselben Tages als verdächtig zu betrachten .
Umfang der Datenexfiltration
Die Schadsoftware in den LiteLLM-Paketen war darauf ausgelegt, systematisch sensible Daten aus den Build-Umgebungen zu stehlen: Cloud-Zugangsdaten (AWS, Azure, GCP), SSH-Keys, Kubernetes-Konfigurationen, Datenbank-Zugangsdaten, API-Keys und andere Secrets . Diese Daten wurden an einen von TeamPCP kontrollierten Remote-Server gesendet .
Die Sicherheitsfirma Hudson Rock analysierte das von den Angreifern erbeutete Archiv: 153 GB mit 433.909 Dateien, darunter 118.829 CI-Runner-Dumps, die 2.488 Unternehmensdomänen zugeordnet werden konnten . CloudSEK, ein weiteres Threat-Intelligence-Unternehmen, rekonstruierte etwa 434.000 erfasste CI/CD-Pipeline-Dateien und identifizierte über 2.500 potenziell betroffene Organisationen.
Das FBI warnte in einer Flash-Advisory (FLASH-20260702-01) vom 2. Juli 2026 vor nachfolgenden gezielten Angriffen unter Verwendung der gestohlenen Daten .
Betroffene Organisationen
Die gestohlenen Daten umfassen Zugangsdaten führender Unternehmen aus Technologie, Finanzen, Industrie und Telekommunikation. Namentlich genannte Organisationen aus mehreren Quellen sind unter anderem:
Hudson Rock betonte, dass viele der gestohlenen Zugangsdaten Monate nach dem Vorfall immer noch gültig waren .
Kevin Beaumonts Post-Incident-Tests
Nach einem Bericht von Ars Technica über den Vorfall testete der Sicherheitsexperte Kevin Beaumont kompromittierte Zugangsdaten eines großen US-Technologieunternehmens, das behauptet hatte, "alles rotiert" zu haben. Sein Test ergab: "Fast jedes einzelne funktionierte" – das Unternehmen hatte seine kompromittierten Secrets trotz gegenteiliger Behauptungen nicht tatsächlich ausgetauscht .
Dringende Handlungsempfehlung
Behandeln Sie alle Secrets, API-Keys, Cloud-Zugangsdaten, SSH-Schlüssel, Kubernetes-Konfigurationen und andere sensible Daten, die für LiteLLM Version 1.82.7 oder 1.82.8 zugänglich waren, als vollständig kompromittiert. Eine sofortige Rotation aller potenziell exponierten Credentials ist unerlässlich – unabhängig davon, ob eine Organisation glaubt, sie bereits ausgetauscht zu haben . Der Angriff gilt als der größte AI-Infrastruktur-Lieferkettenbruch des Jahres 2026, und die gestohlenen Daten bleiben eine anhaltende Bedrohung für Folgeeindringlinge, wie Beaumonts Tests deutlich gezeigt haben .
infostealers.comLargest AI Supply Chain Breach of 2026: LiteLLM Hack Impacts Thousands of Global Enterprises - Claim Your Ethical Disclosure
plainsec.comLiteLLM Breach Grew Into CI Secret Spill · PlainSec
recatools.comLiteLLM Supply Chain Attack: 434,000 Pipelines, 2,500 Organisations
labs.cloudsecurityalliance.orgTeamPCP’s LiteLLM Backdoor: New Data Shows 2,100+ Orgs Exposed