40 minuutin hyökkäys paljasti 2 500+ yritystä: Koko aikajana LiteLLM:n toimitusketjumurrosta maaliskuussa 2026

Maaliskuussa 2026 40 minuutin ikkuna PyPI-pakettivarastossa laukaisi vuoden suurimman tekoälyinfrastruktuuriin kohdistuneen toimitusketjuhyökkäyksen. TeamPCP-niminen uhkaryhmä julkaisi kaksi haitallista versiota LiteLLM:stä, laajalti käytetystä avoimen lähdekoodin tekoälyvälitysohjelmistosta. Tästä seurannut tunnusten vuoto koski yli 2 500 organisaatiota maailmanlaajuisesti – joukossa Amazon, Microsoft, Cisco, NVIDIA ja Samsung. Tässä on tapahtumien täysi aikajana, hyökkäyksen mekaniikka ja seuraukset.

Hyökkäyksen aikajana

Hyökkäys tapahtui usean päivän aikana maaliskuussa 2026 luottamuksellisten työkalujen kautta etenevänä tapahtumaketjuna. Keskeiset päivämäärät ovat:

• 19. maaliskuuta 2026 – TeamPCP murtautui Aqua Securityn Trivyyn, suosittuun avoimen lähdekoodin haavoittuvuusskanneriin, jota käytetään CI/CD-putkissa. Ryhmä käytti hyväkseen puutteellista tunnusten kierrätystä Aqua Securityssä ja työnsi haitallisia kommitteja 76:een 77:stä trivy-action-versiotagista ja kaikkiin seitsemään setup-trivy-tagiin . Tämä isku sai tunnuksen CVE-2026-33634 .
• 24. maaliskuuta 2026, noin klo 10.39 UTC – LiteLLM-versio 1.82.7 julkaistiin PyPI:hin. Haitallinen koodi pääsi mukaan, koska LiteLLM:n oma CI/CD-putki asensi myrkytetyn Trivy-skannerin osana tietoturvatarkistusprosessia .
• 24. maaliskuuta 2026, klo 10.39–11.19 UTC – Myös versio 1.82.8 julkaistiin. Haitallinen kuorma keräsi pilvitunnuksia, SSH-avaimia, Kubernetes-asetuksia, tietokantatunnuksia, API-avaimia ja muita salaisuuksia ja lähetti ne TeamPCP:n etäpalvelimelle . Versio 1.82.8 oli erityisen vaarallinen: se asensi .pth-tiedoston, joka suoritti haittaohjelman aina, kun Python käynnistettiin – riippumatta siitä, tuotiinko LiteLLM koodiin vai ei .
• 24. maaliskuuta 2026, noin klo 11.19 UTC – PyPI asetti LiteLLM-projektin karanteeniin, noin 40 minuuttia haitallisen version ensimmäisen julkaisun jälkeen. LiteLLM-tiimi neuvoi kuitenkin pitämään epäilyttävinä kaikkia asennuksia, jotka oli tehty ennen klo 16.00 UTC . Paketit ladattiin yli 119 000 kertaa noin 2,5 tunnin aikana ennen karanteenin täyttä voimaantuloa .

TeamPCP käytti varastettuja PyPI-julkaisutunnuksia työntääkseen nämä versiot suoraan PyPI:hin ohittaen LiteLLM:n normaalin GitHub-pohjaisen julkaisuprosessin . Ryhmä ehti samassa ikkunassa myös töhriä 15 organisaation repositoriota, tyhjentää 182 henkilökohtaista repoa ja tehdä 70 yksityistä BerriAI:n (LiteLLM:n emoyhtiö) repositoriota julkisiksi .

Miten hyökkäys toimi: etenevä toimitusketjumurto

Hyökkäys on malliesimerkki etenevästä toimitusketjumurrosta. TeamPCP ei hyökännyt suoraan LiteLLM:n kimppuun, vaan käytti hyväkseen luottamusketjua:

1. Ensimmäinen murto: Trivy – 19. maaliskuuta TeamPCP sai pääsyn Trivyn GitHub Actions -putkeen tunnuksella, joka oli kierrätetty mutta ei täysin peruttu . Ryhmä julkaisi haitallisia Trivy-versioita, jotka asensivat tunnustenkeruuohjelman jokaiseen CI/CD-ajajaan, joka asensi myrkytetyn skannerin.
2. Toinen murto: LiteLLM – LiteLLM:n oma CI/CD-putki asensi Trivy-haavoittuvuusskannerin automaattisesti tietoturvavaiheena. Kun putki käynnistettiin 24. maaliskuuta, se latasi myrkytetyn Trivyn. Sen haittaohjelma kaapi CI-ajoympäristön tiedot, mukaan lukien LiteLLM:n PyPI-julkaisutunnukset ja GitHub-tunnukset .
3. Kolmas murto: PyPI-käyttäjät – Varustettuna LiteLLM:n PyPI-tunnuksilla TeamPCP työnsi haitalliset LiteLLM-versiot PyPI:hin. Jokainen kehittäjä tai organisaatio, joka ajoi

   pip install litellm==1.82.7

   tai 1.82.8 – tai jonka CI/CD-putki haki automaattisesti uusimman version – menetti rakennusympäristönsä salaisuudet.

Kuten CloudSEK totesi, "hyökkäys sai alkunsa Trivy-riippuvuudesta, jota käytettiin [LiteLLM:n] CI/CD-tietoturvatarkistuksessa" . LiteLLM-murrolle ei ole omaa CVE-tunnusta, koska mikään LiteLLM:n omassa koodissa ei ollut haavoittuva – haavoittuvuus oli luottamussuhteessa LiteLLM:n rakennusputken ja sen tietoturvatyökalun välillä .

Tietovuodon laajuus

Tietovarkauden todellinen laajuus selvisi vasta viisi kuukautta myöhemmin, kun useat uhkatiedusteluyritykset julkaisivat analyysinsä:

• Hudson Rock sai itsenäisesti haltuunsa ja analysoi hyökkääjien raakatiedoston: 153 Gt:n RAR-arkiston, joka sisälsi tarkalleen 433 909 tiedostoa ja 118 829 CI-ajoympäristön tiedostolatausta, jotka yhdistettiin 2 488 yritysverkkotunnukseen .
• CloudSEK rekonstruoi noin 434 000 kaapattua CI/CD-putkien tiedostoa ja tunnisti yli 2 500 mahdollisesti altistunutta organisaatiota . CloudSEK kuvasi tapausta vuoden 2026 suurimmaksi tekoälyinfrastruktuuriin kohdistuneeksi toimitusketjuhyökkäykseksi .
• Vuotaneita tietoja olivat pilvialustojen tunnukset (AWS, GCP, Azure), tekoälypalveluiden API-avaimet (OpenAI, Anthropic, Cohere jne.), SSH-yksityisavaimet, Kubernetes-palvelutilin tunnukset, Docker-rekisterin kirjautumistiedot, .env-tiedostot, tietokantayhteysmerkkijonot, Slack-allekirjoitussalaisuudet, Salesforce-asiakassalaisuudet ja Git-tunnukset .

FBI antoi 2. heinäkuuta 2026 pikavaroituksen (FLASH-20260702-01), jossa se totesi, että TeamPCP-kampanjan aikana varastettuja tunnuksia todennäköisesti käytetään uusissa hyökkäyksissä pitkään alkuperäisen murron jälkeen. FBI kehotti organisaatioita kierrättämään CI/CD-salaisuudet, julkaisutunnukset ja pilvitunnukset, jotka olivat olleet saatavilla altistumisikkunoiden aikana .

Altistuneet organisaatiot

Altistuneisiin verkkotunnuksiin kuuluu suuria yrityksiä teknologia-, rahoitus-, teollisuus- ja televiestintäsektoreilta. Vahvistettuja organisaatioita useista lähteistä ovat :

• Teknologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (entinen Twitter), Zscaler, Roku, Epic Games
• Teollisuus: Volkswagen, Siemens, FedEx
• Rahoitus: S&P Global, Deloitte
• Televiestintä: BT Group, Vodafone

CloudSEK:n aineisto sisälsi "korkean luottamuksen osumia", jotka oli yhdistetty näiden organisaatioiden yritysverkkotunnuksiin, repositorioihin, tunnuksiin tai infrastruktuuriin . Hudson Rock totesi, että arkisto sisälsi "edelleen voimassa olevia" tunnuksia monille näistä organisaatioista kuukausia tapahtuman jälkeen .

Kevin Beaumontin jälkitarkastus

Viisi kuukautta murron jälkeen riippumaton tietoturvatutkija Kevin Beaumont teki tärkeän todellisuustarkastuksen. Hän testasi suuren yhdysvaltalaisen teknologiayrityksen kompromettoituneita tunnuksia; yritys oli julkisesti väittänyt "kierrättäneensä kaiken". Vastuullisen tietoturvakäytännön mukaisesti Beaumont testasi tunnukset ja havaitsi, että "lähes jokainen toimi" – eli organisaatio ei ollut todellisuudessa kierrättänyt kompromettoituneita salaisuuksiaan väitteistään huolimatta .

Tämä havainto korostaa kriittistä oppituntia: lausunnot tunnusten kierrättämisestä ja todellinen tunnusten kierrättäminen ovat usein kaksi eri asiaa, ja varastetut tunnukset ovat edelleen aktiivinen uhka.

Kiireellinen suositus

Käsittele kaikkia salaisuuksia, API-avaimia, pilvitunnuksia, SSH-avaimia, Kubernetes-asetuksia ja muita arkaluontoisia tietoja, jotka olivat LiteLLM-versioiden 1.82.7 tai 1.82.8 ulottuvilla, täysin kompromettoituina. Välitön jokaisen tunnuksen kierrättäminen, joka on voinut olla esillä 24. maaliskuuta 2026 aikana, on välttämätöntä – riippumatta siitä, uskooko organisaatio jo kierrättäneensä ne .

Hyökkäystä pidetään vuoden 2026 suurimpana tekoälyinfrastruktuurin toimitusketjumurtona, ja varastetut tiedot ovat pysyvä uhka jatkohyökkäyksille, kuten Beaumontin tunnustestit osoittivat . FBI on varoittanut, että jatkohyökkäykset ovat todennäköisiä, ja 153 Gt:n arkiston voimassa olevat tunnukset ovat uhkatoimijoille jatkuvasti uusia mahdollisuuksia tarjoava aarrearkku.

Jos organisaatiosi käytti LiteLLM:ää millään tavalla 24. maaliskuuta 2026, oleta kompromettointi. Tarkista haitallinen .pth-tiedosto (litellm_init.pth) ja pysyvä takaovi (~/.config/sysmon/sysmon.py), varmista asennettu versio komennolla

pip show litellm