El ataque de 40 minutos que expuso a más de 2.500 empresas: cronología completa de la brecha en la cadena de suministro de LiteLLM

TeamPCP utilizó las credenciales de publicación de PyPI robadas para subir estas versiones directamente a PyPI, sin pasar por el proceso de lanzamiento basado en GitHub de LiteLLM . El grupo también comprimió otras actividades maliciosas en esa misma ventana, incluyendo la desfiguración de 15 repositorios de organizaciones, la eliminación de 182 repositorios personales y la publicación de 70 repositorios privados de BerriAI (la organización matriz de LiteLLM) .

Cómo funcionó el ataque: un compromiso en cascada de la cadena de suministro

El ataque es un ejemplo clásico de compromiso en cascada de la cadena de suministro. TeamPCP no atacó LiteLLM directamente. En cambio, explotó una cadena de confianza:

1. Primer compromiso: Trivy – El 19 de marzo, TeamPCP obtuvo acceso al pipeline de GitHub Actions de Trivy utilizando una credencial que había sido rotada pero no revocada por completo . Publicaron versiones maliciosas de Trivy que inyectaban una carga útil de robo de credenciales en cualquier ejecutor de CI/CD que instalara el escáner comprometido.
2. Segundo compromiso: LiteLLM – El propio pipeline CI/CD de LiteLLM instalaba automáticamente el escáner de vulnerabilidades Trivy como un paso de seguridad. Cuando el pipeline se ejecutó el 24 de marzo, descargó la versión envenenada de Trivy. La carga útil maliciosa dentro de Trivy raspó el entorno del ejecutor de CI, extrayendo los tokens de publicación de PyPI y las credenciales de GitHub de LiteLLM .
3. Tercer compromiso: usuarios de PyPI – Armados con las credenciales de PyPI de LiteLLM, TeamPCP subió versiones maliciosas de LiteLLM a PyPI. Cualquier desarrollador u organización que ejecutara

   pip install litellm==1.82.7

   o 1.82.8 — o cuyo pipeline CI/CD descargara automáticamente la última versión — vería su entorno de compilación despojado de secretos.

Como señaló CloudSEK, "el ataque se originó a partir de la dependencia de Trivy utilizada en el flujo de trabajo de escaneo de seguridad CI/CD [de LiteLLM]" . No hay un CVE para el compromiso de LiteLLM en sí mismo porque nada en el código de LiteLLM era vulnerable; la vulnerabilidad estaba en la relación de confianza entre el pipeline de compilación de LiteLLM y su herramienta de escaneo de seguridad .

Escala de la exfiltración de datos

La magnitud total del robo de datos solo se hizo evidente cinco meses después, cuando múltiples firmas de inteligencia de amenazas publicaron sus análisis:

• Hudson Rock obtuvo y analizó de forma independiente el archivo de exfiltración sin procesar de los atacantes: un archivo RAR de 153 GB que contenía exactamente 433.909 archivos y 118.829 volcados de ejecutores de CI, atribuidos a 2.488 dominios corporativos .
• CloudSEK reconstruyó aproximadamente 434.000 archivos de pipeline CI/CD capturados e identificó más de 2.500 organizaciones potencialmente expuestas . CloudSEK describió el incidente como el mayor ataque a la cadena de suministro dirigido a infraestructura de IA identificado hasta ahora en 2026 .
• Los datos comprometidos incluían credenciales de plataformas en la nube (AWS, GCP, Azure), claves API de proveedores de IA (OpenAI, Anthropic, Cohere, etc.), claves privadas SSH, tokens de cuentas de servicio de Kubernetes, inicios de sesión de registros de Docker, archivos .env, cadenas de conexión de bases de datos, secretos de firma de Slack, secretos de cliente de Salesforce y credenciales de Git .

El FBI emitió un aviso flash el 2 de julio de 2026 (FLASH-20260702-01) advirtiendo que actores afiliados probablemente utilizarán las credenciales exfiltradas durante la campaña de TeamPCP mucho después del compromiso inicial. Instó a las organizaciones a rotar los secretos de CI/CD, los tokens de publicación y las credenciales en la nube accesibles durante las ventanas de exposición relevantes .

Organizaciones afectadas

Los dominios expuestos incluían grandes empresas de los sectores tecnológico, financiero, industrial y de telecomunicaciones. Las organizaciones nombradas confirmadas de múltiples fuentes incluyen :

• Tecnología: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (anteriormente Twitter), Zscaler, Roku, Epic Games
• Industrial: Volkswagen, Siemens, FedEx
• Financiero: S&P Global, Deloitte
• Telecomunicaciones: BT Group, Vodafone

El conjunto de datos de CloudSEK contenía "coincidencias de alta confianza" vinculadas a dominios corporativos, repositorios, credenciales o infraestructura pertenecientes a estas organizaciones . Hudson Rock señaló que el archivo contenía credenciales "aún válidas" para muchas de estas organizaciones meses después del incidente .

Las pruebas posteriores de Kevin Beaumont

Cinco meses después de la brecha, el investigador de seguridad independiente Kevin Beaumont realizó una verificación de la realidad crucial. Después del informe de Ars Technica sobre la brecha, Beaumont probó credenciales comprometidas de una importante empresa tecnológica estadounidense que afirmó públicamente que había "rotado todo". Utilizando una política de divulgación responsable, probó las credenciales y descubrió que "casi todas funcionaban", lo que significa que la organización no había rotado sus secretos comprometidos a pesar de afirmarlo .

Este hallazgo subraya una lección crítica: las declaraciones sobre la rotación de credenciales y la rotación real de credenciales suelen ser dos cosas diferentes, y las credenciales robadas de este ataque siguen siendo una amenaza activa.

Recomendación urgente

Trate todos los secretos, claves API, credenciales en la nube, claves SSH, configuraciones de Kubernetes y cualquier otro dato sensible que fuera accesible para las versiones 1.82.7 o 1.82.8 de LiteLLM como completamente comprometidos. La rotación inmediata de cada credencial que podría haber sido expuesta durante la ventana del 24 de marzo de 2026 es esencial, independientemente de si una organización cree que ya las ha rotado .

El ataque se considera la mayor brecha en la cadena de suministro de infraestructura de IA de 2026, y los datos robados siguen siendo una amenaza persistente para intrusiones posteriores, como lo demuestran las pruebas de credenciales de Beaumont . El FBI ha advertido que es probable que se produzcan ataques posteriores, y el tesoro de credenciales válidas en el archivo de 153 GB es un regalo que sigue dando para los actores de amenazas.

Si su organización utilizó LiteLLM de alguna manera el 24 de marzo de 2026, asuma que está comprometida. Verifique la existencia del archivo .pth malicioso (litellm_init.pth) y la puerta trasera de persistencia (~/.config/sysmon/sysmon.py), verifique la versión instalada con

pip show litellm