Die LiteLLM-Supply-Chain-Attacke: Scope, Impact und die tickende Zeitbombe der nicht rotierten Secrets

Im März 2026 führte die als TeamPCP bekannte Gruppe einen Supply-Chain-Kaskadenangriff aus, der bei einem Sicherheitsscanner begann und mit der Kompromittierung von LiteLLM endete – einem der beliebtesten Open-Source-KI-Proxy-Pakete im Python-Ökosystem . Der Angriff könnte über 2.500 Organisationen exponiert, 434.000+ CI/CD-Pipelines gefährdet und 433.909 Dateien mit Zugangsdaten in einem 153-GB-Archiv gestohlen haben . So lief die Attacke ab, wer betroffen ist – und warum die Gefahr keineswegs vorbei ist.

Wie TeamPCP die Fünf-Tage-Kaskade durchführte

TeamPCP (auch als PCPcat, ShellForce und DeadCatx3 bekannt) ist eine finanziell motivierte Gruppe, die seit Mitte 2025 aktiv ist . Ihr Coup im März 2026 zeichnete sich durch eine Kaskaden-Architektur aus: Aus einem CI/CD-Pipeline gestohlene Zugangsdaten wurden zum Einfallstor für das nächste Ziel . Die Angriffskette erstreckte sich über fünf Tage:

Tag 1: Trivy (19. März)

TeamPCP verschaffte sich Erstzugriff auf die Infrastruktur von Aqua Security, indem sie eine Fehlkonfiguration des pull_request_target-Workflows ausnutzten – eine „PwnRequest“-Schwachstelle . Sie fingen einen neu ausgestellten persönlichen Access-Token für den Dienstaccount aqua-bot ab und überschrieben Versionstags mit schädlichen Commits. 76 von 77 trivy-action-Tags und alle 7 setup-trivy-Tags wurden gekapert . Dieser erste Einbruch wird als CVE-2026-33634 (CVSS 9.8, kritisch) geführt .

Tag 2: KICS (23. März)

Mit den aus dem Trivy-Angriff gestohlenen Tokens authentifizierte sich TeamPCP als der Service-Account cx-plugins-releases von Checkmarx und veröffentlichte manipulierte KICS-Releases .

Tag 3: LiteLLM (24. März)

Die Build-Pipeline von LiteLLM installierte automatisch den kompromittierten Trivy-Scanner, wodurch die Malware Lesezugriff auf die Runner-Umgebung erhielt. TeamPCP stahl die PyPI-Publishing-Tokens von LiteLLM und veröffentlichte zwei schädliche Releases – die Versionen 1.82.7 und 1.82.8 – auf PyPI . Die schädlichen Pakete waren nur etwa 40 Minuten lang verfügbar, bevor sie entdeckt wurden .

Die Schadsoftware

Die LiteLLM-Malware setzte ein dreistufiges Payload ein :

• Ein Credential-Harvester, der auf über 50 Kategorien von Secrets abzielte
• Ein Kubernetes-Lateral-Movement-Toolkit, das Root-Rechte erlangte und privilegierte Pods ausrollte
• Ein persistentes Backdoor für Remote-Code-Ausführung

Die Malware nutzte .pth-Datei-Injection, um bei jedem Start eines Python-Interpreters automatisch ausgeführt zu werden – ohne expliziten Import, was die Erkennung extrem erschwerte . Auf kompromittierten Runnern – von Google als SANDCLOCK getrackt – sammelte das Payload SSH-Keys, AWS/GCP/Azure-Zugangsdaten, Kubernetes-Serviceaccount-Tokens und Datenbankpasswörter .

Betroffene Organisationen

Quelle	Zahl
CloudSEK (rekonstruierte Exponierung)	2.500+ Organisationen potenziell exponiert
CloudSEK (CI/CD-Pipelines)	~434.000 betroffene Pipeline-Durchläufe
Hudson Rock (zugeordnete CI-Runner-Dumps)	118.829 Dumps von 2.488 Unternehmensdomains
Archivgröße	153 GB, 433.909 Dateien

Von mehreren Threat-Intelligence-Firmen identifizierte Opfer sind unter anderem :

Technologie: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Unternehmen: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekommunikation/Medien: Orange, BT Group, SiriusXM/AdsWizz
Sonstige: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Die Europäische Kommission wurde ebenfalls über die anfängliche Trivy-Kompromittierung getroffen. Dabei wurden AWS-Management-Zugangsdaten gestohlen und ~340 GB unkomprimierte Daten abgegriffen; betroffen waren 42 interne Kunden und 29 weitere EU-Einrichtungen .

Ausmaß des Zugangsdaten-Diebstahls

Die gestohlenen Datentypen umfassen :

• Cloud-IAM-Keys (AWS, GCP, Azure)
• SSH-Keys und Kubernetes-Secrets
• Datenbank-Passwörter und Salesforce-Client-Secrets
• Slack-Signing-Secrets und Umgebungsvariablen
• KI-Provider-API-Keys (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

Das FBI gab am 2. Juli 2026 eine FLASH-Warnung heraus: Von der Kampagne betroffene Organisationen sollten exfiltrierte Daten und Zugangsdaten als dauerhaftes Risiko betrachten, da verbundene Akteure diese mit hoher Wahrscheinlichkeit nutzen werden .

Das anhaltende Risiko durch nicht ausgetauschte Secrets

Trotz der Schwere des Vorfalls ist die Gefahr aus mehreren Gründen noch lange nicht gebannt:

Das Archiv wurde noch nicht geleakt

Hudson Rock, das das Archiv erhalten und analysiert hat, berichtet, dass der 153-GB-Datensatz noch nicht breit gestreut wird – sie sprechen von „einem kritischen Zeitfenster“ für Organisationen, ihre Keys zu rotieren, bevor das Archiv irgendwann doch öffentlich wird .

Viele Organisationen haben noch nicht rotiert

Sicherheitsforscher Kevin Beaumont testete die Zugangsdaten einer Organisation, die angab, alles getauscht zu haben. Sein Befund: „Fast jeder Key funktionierte noch“ .

Nicht identifizierbare Zugangsdaten

Ein großer Teil der erbeuteten Dateien enthält Datenbank-Passwörter, API-Keys und Cloud-Zugangsdaten ohne Firmen-E-Mail, eigene Domain oder internen Servernamen, die eine Identifizierung der betroffenen Organisation erlauben würden. Diese Organisationen können gar nicht wissen, dass sie betroffen sind .

Exponierung vs. bestätigte Kompromittierung

Die Zahl von über 2.500 Betroffenen bezieht sich auf die rekonstruierte Exponierung, nicht auf eine bestätigte Kompromittierung jeder einzelnen Organisation. CloudSEK betont, dass jede genannte Organisation selbst prüfen muss . Der Datensatz befindet sich jedoch bereits in den Händen mehrerer Threat-Intelligence-Firmen, und der natürliche Verlauf eines solchen Vorfalls lässt eine baldige weitere Verbreitung erwarten.

Wichtige Maßnahmen für Organisationen

Jede Organisation, die:

• LiteLLM in den Versionen 1.82.7 oder 1.82.8 ausgeführt hat
• CI/CD-Pipelines hatte, die diese Versionen verwendet haben
• den kompromittierten Trivy-Scanner zwischen dem 19. und 24. März 2026 genutzt hat

...sollte alle Secrets, die in dieser Umgebung zugänglich waren, als kompromittiert betrachten und sofort rotieren – auch wenn kein offensichtlicher Einbruch festgestellt wurde . Die FBI-Warnung unterstreicht dies: Exfiltrierte Zugangsdaten sind als dauerhaftes Risiko zu behandeln .

TeamPCP hat demonstriert, dass ein einziger nicht revozierter Token, drei Tools tief in der Kette, aus einem einzelnen Credential-Leak eine Ökosystem-weite Gefahr machen kann. Der LiteLLM-Angriff ist eine eindringliche Erinnerung daran, dass in modernen Software-Lieferketten genau das Werkzeug, dem wir vertrauen, um Schwachstellen zu finden, selbst zur Schwachstelle werden kann.

Kernkennzahl	Wert
Expositionsfenster des Schadpakets	~40 Minuten
Potenziell exponierte Organisationen	2.500+
Exponierte CI/CD-Pipelines	~434.000
Zugeordnete CI-Runner-Dumps (Hudson Rock)	118.829
Archivgröße	153 GB
Dateien insgesamt	433.909
Zugeordnete Unternehmensdomains (Hudson Rock)	2.488
Namentlich genannte Opfer	25+ große Unternehmen