TeamPCP käytti varastettuja PyPI-julkaisutunnuksia työntääkseen nämä versiot suoraan PyPI:hin ohittaen LiteLLM:n normaalin GitHub-pohjaisen julkaisuprosessin . Ryhmä ehti samassa ikkunassa myös töhriä 15 organisaation repositoriota, tyhjentää 182 henkilökohtaista repoa ja tehdä 70 yksityistä BerriAI:n (LiteLLM:n emoyhtiö) repositoriota julkisiksi .

Miten hyökkäys toimi: etenevä toimitusketjumurto

Hyökkäys on malliesimerkki etenevästä toimitusketjumurrosta. TeamPCP ei hyökännyt suoraan LiteLLM:n kimppuun, vaan käytti hyväkseen luottamusketjua:

1. Ensimmäinen murto: Trivy – 19. maaliskuuta TeamPCP sai pääsyn Trivyn GitHub Actions -putkeen tunnuksella, joka oli kierrätetty mutta ei täysin peruttu . Ryhmä julkaisi haitallisia Trivy-versioita, jotka asensivat tunnustenkeruuohjelman jokaiseen CI/CD-ajajaan, joka asensi myrkytetyn skannerin.
2. Toinen murto: LiteLLM – LiteLLM:n oma CI/CD-putki asensi Trivy-haavoittuvuusskannerin automaattisesti tietoturvavaiheena. Kun putki käynnistettiin 24. maaliskuuta, se latasi myrkytetyn Trivyn. Sen haittaohjelma kaapi CI-ajoympäristön tiedot, mukaan lukien LiteLLM:n PyPI-julkaisutunnukset ja GitHub-tunnukset .
3. Kolmas murto: PyPI-käyttäjät – Varustettuna LiteLLM:n PyPI-tunnuksilla TeamPCP työnsi haitalliset LiteLLM-versiot PyPI:hin. Jokainen kehittäjä tai organisaatio, joka ajoi pip install litellm==1.82.7 tai 1.82.8 – tai jonka CI/CD-putki haki automaattisesti uusimman version – menetti rakennusympäristönsä salaisuudet.

Kuten CloudSEK totesi, "hyökkäys sai alkunsa Trivy-riippuvuudesta, jota käytettiin [LiteLLM:n] CI/CD-tietoturvatarkistuksessa" . LiteLLM-murrolle ei ole omaa CVE-tunnusta, koska mikään LiteLLM:n omassa koodissa ei ollut haavoittuva – haavoittuvuus oli luottamussuhteessa LiteLLM:n rakennusputken ja sen tietoturvatyökalun välillä .

Tietovuodon laajuus

Tietovarkauden todellinen laajuus selvisi vasta viisi kuukautta myöhemmin, kun useat uhkatiedusteluyritykset julkaisivat analyysinsä:

• Hudson Rock sai itsenäisesti haltuunsa ja analysoi hyökkääjien raakatiedoston: 153 Gt:n RAR-arkiston, joka sisälsi tarkalleen 433 909 tiedostoa ja 118 829 CI-ajoympäristön tiedostolatausta, jotka yhdistettiin 2 488 yritysverkkotunnukseen .
• CloudSEK rekonstruoi noin 434 000 kaapattua CI/CD-putkien tiedostoa ja tunnisti yli 2 500 mahdollisesti altistunutta organisaatiota . CloudSEK kuvasi tapausta vuoden 2026 suurimmaksi tekoälyinfrastruktuuriin kohdistuneeksi toimitusketjuhyökkäykseksi .
• Vuotaneita tietoja olivat pilvialustojen tunnukset (AWS, GCP, Azure), tekoälypalveluiden API-avaimet (OpenAI, Anthropic, Cohere jne.), SSH-yksityisavaimet, Kubernetes-palvelutilin tunnukset, Docker-rekisterin kirjautumistiedot, .env-tiedostot, tietokantayhteysmerkkijonot, Slack-allekirjoitussalaisuudet, Salesforce-asiakassalaisuudet ja Git-tunnukset .

FBI antoi 2. heinäkuuta 2026 pikavaroituksen (FLASH-20260702-01), jossa se totesi, että TeamPCP-kampanjan aikana varastettuja tunnuksia todennäköisesti käytetään uusissa hyökkäyksissä pitkään alkuperäisen murron jälkeen. FBI kehotti organisaatioita kierrättämään CI/CD-salaisuudet, julkaisutunnukset ja pilvitunnukset, jotka olivat olleet saatavilla altistumisikkunoiden aikana .

Altistuneet organisaatiot

Altistuneisiin verkkotunnuksiin kuuluu suuria yrityksiä teknologia-, rahoitus-, teollisuus- ja televiestintäsektoreilta. Vahvistettuja organisaatioita useista lähteistä ovat :

• Teknologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (entinen Twitter), Zscaler, Roku, Epic Games
• Teollisuus: Volkswagen, Siemens, FedEx
• Rahoitus: S&P Global, Deloitte
• Televiestintä: BT Group, Vodafone

CloudSEK:n aineisto sisälsi "korkean luottamuksen osumia", jotka oli yhdistetty näiden organisaatioiden yritysverkkotunnuksiin, repositorioihin, tunnuksiin tai infrastruktuuriin . Hudson Rock totesi, että arkisto sisälsi "edelleen voimassa olevia" tunnuksia monille näistä organisaatioista kuukausia tapahtuman jälkeen .

Kevin Beaumontin jälkitarkastus

Viisi kuukautta murron jälkeen riippumaton tietoturvatutkija Kevin Beaumont teki tärkeän todellisuustarkastuksen. Hän testasi suuren yhdysvaltalaisen teknologiayrityksen kompromettoituneita tunnuksia; yritys oli julkisesti väittänyt "kierrättäneensä kaiken". Vastuullisen tietoturvakäytännön mukaisesti Beaumont testasi tunnukset ja havaitsi, että "lähes jokainen toimi" – eli organisaatio ei ollut todellisuudessa kierrättänyt kompromettoituneita salaisuuksiaan väitteistään huolimatta .

Tämä havainto korostaa kriittistä oppituntia: lausunnot tunnusten kierrättämisestä ja todellinen tunnusten kierrättäminen ovat usein kaksi eri asiaa, ja varastetut tunnukset ovat edelleen aktiivinen uhka.

Kiireellinen suositus

Käsittele kaikkia salaisuuksia, API-avaimia, pilvitunnuksia, SSH-avaimia, Kubernetes-asetuksia ja muita arkaluontoisia tietoja, jotka olivat LiteLLM-versioiden 1.82.7 tai 1.82.8 ulottuvilla, täysin kompromettoituina. Välitön jokaisen tunnuksen kierrättäminen, joka on voinut olla esillä 24. maaliskuuta 2026 aikana, on välttämätöntä – riippumatta siitä, uskooko organisaatio jo kierrättäneensä ne .

Hyökkäystä pidetään vuoden 2026 suurimpana tekoälyinfrastruktuurin toimitusketjumurtona, ja varastetut tiedot ovat pysyvä uhka jatkohyökkäyksille, kuten Beaumontin tunnustestit osoittivat . FBI on varoittanut, että jatkohyökkäykset ovat todennäköisiä, ja 153 Gt:n arkiston voimassa olevat tunnukset ovat uhkatoimijoille jatkuvasti uusia mahdollisuuksia tarjoava aarrearkku.

Jos organisaatiosi käytti LiteLLM:ää millään tavalla 24. maaliskuuta 2026, oleta kompromettointi. Tarkista haitallinen .pth-tiedosto (litellm_init.pth) ja pysyvä takaovi (~/.config/sysmon/sysmon.py), varmista asennettu versio komennolla pip show litellm, ja kierrätä jokainen tunnus, joka oli altistuneen isäntäkoneen ulottuvilla – pilviavaimet, tekoälypalveluiden API-avaimet, Kubernetes-tunnukset, SSH-avaimet ja CI/CD-tunnukset .

TeamPCP käytti varastettuja PyPI-julkaisutunnuksia työntääkseen nämä versiot suoraan PyPI:hin ohittaen LiteLLM:n normaalin GitHub-pohjaisen julkaisuprosessin . Ryhmä ehti samassa ikkunassa myös töhriä 15 organisaation repositoriota, tyhjentää 182 henkilökohtaista repoa ja tehdä 70 yksityistä BerriAI:n (LiteLLM:n emoyhtiö) repositoriota julkisiksi .

Miten hyökkäys toimi: etenevä toimitusketjumurto

Hyökkäys on malliesimerkki etenevästä toimitusketjumurrosta. TeamPCP ei hyökännyt suoraan LiteLLM:n kimppuun, vaan käytti hyväkseen luottamusketjua:

1. Ensimmäinen murto: Trivy – 19. maaliskuuta TeamPCP sai pääsyn Trivyn GitHub Actions -putkeen tunnuksella, joka oli kierrätetty mutta ei täysin peruttu . Ryhmä julkaisi haitallisia Trivy-versioita, jotka asensivat tunnustenkeruuohjelman jokaiseen CI/CD-ajajaan, joka asensi myrkytetyn skannerin.
2. Toinen murto: LiteLLM – LiteLLM:n oma CI/CD-putki asensi Trivy-haavoittuvuusskannerin automaattisesti tietoturvavaiheena. Kun putki käynnistettiin 24. maaliskuuta, se latasi myrkytetyn Trivyn. Sen haittaohjelma kaapi CI-ajoympäristön tiedot, mukaan lukien LiteLLM:n PyPI-julkaisutunnukset ja GitHub-tunnukset .
3. Kolmas murto: PyPI-käyttäjät – Varustettuna LiteLLM:n PyPI-tunnuksilla TeamPCP työnsi haitalliset LiteLLM-versiot PyPI:hin. Jokainen kehittäjä tai organisaatio, joka ajoi pip install litellm==1.82.7 tai 1.82.8 – tai jonka CI/CD-putki haki automaattisesti uusimman version – menetti rakennusympäristönsä salaisuudet.

Kuten CloudSEK totesi, "hyökkäys sai alkunsa Trivy-riippuvuudesta, jota käytettiin [LiteLLM:n] CI/CD-tietoturvatarkistuksessa" . LiteLLM-murrolle ei ole omaa CVE-tunnusta, koska mikään LiteLLM:n omassa koodissa ei ollut haavoittuva – haavoittuvuus oli luottamussuhteessa LiteLLM:n rakennusputken ja sen tietoturvatyökalun välillä .

Tietovuodon laajuus

Tietovarkauden todellinen laajuus selvisi vasta viisi kuukautta myöhemmin, kun useat uhkatiedusteluyritykset julkaisivat analyysinsä:

• Hudson Rock sai itsenäisesti haltuunsa ja analysoi hyökkääjien raakatiedoston: 153 Gt:n RAR-arkiston, joka sisälsi tarkalleen 433 909 tiedostoa ja 118 829 CI-ajoympäristön tiedostolatausta, jotka yhdistettiin 2 488 yritysverkkotunnukseen .
• CloudSEK rekonstruoi noin 434 000 kaapattua CI/CD-putkien tiedostoa ja tunnisti yli 2 500 mahdollisesti altistunutta organisaatiota . CloudSEK kuvasi tapausta vuoden 2026 suurimmaksi tekoälyinfrastruktuuriin kohdistuneeksi toimitusketjuhyökkäykseksi .
• Vuotaneita tietoja olivat pilvialustojen tunnukset (AWS, GCP, Azure), tekoälypalveluiden API-avaimet (OpenAI, Anthropic, Cohere jne.), SSH-yksityisavaimet, Kubernetes-palvelutilin tunnukset, Docker-rekisterin kirjautumistiedot, .env-tiedostot, tietokantayhteysmerkkijonot, Slack-allekirjoitussalaisuudet, Salesforce-asiakassalaisuudet ja Git-tunnukset .

FBI antoi 2. heinäkuuta 2026 pikavaroituksen (FLASH-20260702-01), jossa se totesi, että TeamPCP-kampanjan aikana varastettuja tunnuksia todennäköisesti käytetään uusissa hyökkäyksissä pitkään alkuperäisen murron jälkeen. FBI kehotti organisaatioita kierrättämään CI/CD-salaisuudet, julkaisutunnukset ja pilvitunnukset, jotka olivat olleet saatavilla altistumisikkunoiden aikana .

Altistuneet organisaatiot

Altistuneisiin verkkotunnuksiin kuuluu suuria yrityksiä teknologia-, rahoitus-, teollisuus- ja televiestintäsektoreilta. Vahvistettuja organisaatioita useista lähteistä ovat :

• Teknologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (entinen Twitter), Zscaler, Roku, Epic Games
• Teollisuus: Volkswagen, Siemens, FedEx
• Rahoitus: S&P Global, Deloitte
• Televiestintä: BT Group, Vodafone

CloudSEK:n aineisto sisälsi "korkean luottamuksen osumia", jotka oli yhdistetty näiden organisaatioiden yritysverkkotunnuksiin, repositorioihin, tunnuksiin tai infrastruktuuriin . Hudson Rock totesi, että arkisto sisälsi "edelleen voimassa olevia" tunnuksia monille näistä organisaatioista kuukausia tapahtuman jälkeen .

Kevin Beaumontin jälkitarkastus

Viisi kuukautta murron jälkeen riippumaton tietoturvatutkija Kevin Beaumont teki tärkeän todellisuustarkastuksen. Hän testasi suuren yhdysvaltalaisen teknologiayrityksen kompromettoituneita tunnuksia; yritys oli julkisesti väittänyt "kierrättäneensä kaiken". Vastuullisen tietoturvakäytännön mukaisesti Beaumont testasi tunnukset ja havaitsi, että "lähes jokainen toimi" – eli organisaatio ei ollut todellisuudessa kierrättänyt kompromettoituneita salaisuuksiaan väitteistään huolimatta .

Tämä havainto korostaa kriittistä oppituntia: lausunnot tunnusten kierrättämisestä ja todellinen tunnusten kierrättäminen ovat usein kaksi eri asiaa, ja varastetut tunnukset ovat edelleen aktiivinen uhka.

Kiireellinen suositus

Käsittele kaikkia salaisuuksia, API-avaimia, pilvitunnuksia, SSH-avaimia, Kubernetes-asetuksia ja muita arkaluontoisia tietoja, jotka olivat LiteLLM-versioiden 1.82.7 tai 1.82.8 ulottuvilla, täysin kompromettoituina. Välitön jokaisen tunnuksen kierrättäminen, joka on voinut olla esillä 24. maaliskuuta 2026 aikana, on välttämätöntä – riippumatta siitä, uskooko organisaatio jo kierrättäneensä ne .

Hyökkäystä pidetään vuoden 2026 suurimpana tekoälyinfrastruktuurin toimitusketjumurtona, ja varastetut tiedot ovat pysyvä uhka jatkohyökkäyksille, kuten Beaumontin tunnustestit osoittivat . FBI on varoittanut, että jatkohyökkäykset ovat todennäköisiä, ja 153 Gt:n arkiston voimassa olevat tunnukset ovat uhkatoimijoille jatkuvasti uusia mahdollisuuksia tarjoava aarrearkku.

Jos organisaatiosi käytti LiteLLM:ää millään tavalla 24. maaliskuuta 2026, oleta kompromettointi. Tarkista haitallinen .pth-tiedosto (litellm_init.pth) ja pysyvä takaovi (~/.config/sysmon/sysmon.py), varmista asennettu versio komennolla pip show litellm, ja kierrätä jokainen tunnus, joka oli altistuneen isäntäkoneen ulottuvilla – pilviavaimet, tekoälypalveluiden API-avaimet, Kubernetes-tunnukset, SSH-avaimet ja CI/CD-tunnukset .