LiteLLM-toimitusketjuhyökkäys iski yli 2 500 organisaatioon – salaisuuksia vaihtamatta

Päivä 1: Trivy (19. maaliskuuta)

TeamPCP sai ensisijaisen pääsyn Aqua Securityn infrastruktuuriin hyödyntämällä pull_request_target-työnkulkujen virhekonfiguraatiota – "PwnRequest"-haavoittuvuutta . He sieppasivat juuri uudelleen luodun henkilökohtaisen pääsytunnuksen aqua-bot-palvelutunnukselle ja pakottivat version tunnisteet osoittamaan haitallisiin kommentteihin. 76:ta 77:stä trivy-action-tunnisteesta ja kaikki 7 setup-trivy-tunnistetta kaapattiin . Tämä ensimmäinen kompromissi tunnetaan nimellä CVE-2026-33634 (CVSS 9.8, kriittinen) .

Päivä 2: KICS (23. maaliskuuta)

TeamPCP käytti Trivyn uhreilta varastettuja tunnuksia kirjautuakseen Checkmarxin cx-plugins-releases-palvelutunnuksella ja työnsi haitallisia KICS-julkaisuja .

Päivä 3: LiteLLM (24. maaliskuuta)

LiteLLM:n rakennusputki asensi automaattisesti vaarantuneen Trivy-skannerin, mikä antoi haittaohjelmalle lukuoikeuden suoritusympäristöön. TeamPCP varasti LiteLLM:n PyPI-julkaisutunnukset ja julkaisi kaksi haitallista versiota – versiot 1.82.7 ja 1.82.8 – PyPI:hin . Haitalliset paketit olivat ladattavissa vain noin 40 minuutin ajan ennen kuin ne havaittiin .

Haittaohjelman toiminta

LiteLLM-haittaohjelma käytti kolmivaiheista hyötykuormaa :

• Tunnistetietojen kerääjä, joka kohdistui yli 50 eri salaiseen tietotyyppiin
• Kubernetes-sivuttaisliikkeen työkalupakki, joka kohosi pääkäyttäjäoikeuksiin ja käynnisti etuoikeutettuja podja
• Pysyvä takaovi etäkomentojen suorittamiseen

Haittaohjelma käytti .pth-tiedostoinjektiota suorittuakseen automaattisesti jokaisen Python-tulkin käynnistyksen yhteydessä ilman erillistä tuontia – mikä teki siitä erityisen vaikeasti havaittavan . Vaarantuneilla suorittimilla Googlen SANDCLOCK-nimellä seuraama hyötykuorma keräsi SSH-avaimia, AWS/GCP/Azure-tunnistetietoja, Kubernetes-palvelutilien tunnuksia ja tietokantasalasanoja .

Vaarantuneet organisaatiot

Useiden uhkatiedusteluyhtiöiden tunnistamia uhreja ovat :

Teknologia: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Yritysasiakkaat: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekommunikaatio ja media: Orange, BT Group, SiriusXM/AdsWizz
Muut: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Myös Euroopan komissio vaarantui alkuperäisen Trivy-kompromissin kautta, mikä johti AWS-hallintatunnusten ja noin 340 Gt:n pakkaamattoman datan varastamiseen, vaikuttaen 42:een sisäiseen asiakkaaseen ja 29:ään muuhun EU-tahoon .

Tunnistetietojen altistumisen laajuus

Varastetut tietotyypit sisältävät :

• Pilvipalveluiden IAM-avaimet (AWS, GCP, Azure)
• SSH-avaimet ja Kubernetes-salaisuudet
• Tietokantasalasanat ja Salesforce-asiakassalaisuudet
• Slackin allekirjoitussalaisuudet ja ympäristömuuttujat
• AI-palveluntarjoajien API-avaimet (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI antoi FLASH-tiedotteen 2. heinäkuuta 2026 varoittaen, että kampanjan kohteeksi joutuneiden organisaatioiden tulisi käsitellä vuodettuja tietoja ja tunnistetietoja jatkuvana riskinä, koska siihen liittyvät toimijat todennäköisesti käyttävät niitä aseena .

Jatkuva riski vaihtamattomista salaisuuksista

Huolimatta hyökkäyksen vakavuudesta, riski ei ole hallinnassa useista syistä:

Arkistoa ei ole vielä vuodettu

Hudson Rock, joka sai ja analysoi arkiston, raportoi, että 153 Gt:n tietoaineisto ei ole vielä laajalti levinnyt – he kutsuvat sitä "kriittiseksi mahdollisuusikkunaksi" organisaatioille vaihtaa avaimet ennen kuin se lopulta vuotaa .

Monet organisaatiot eivät ole vaihtaneet tunnuksiaan

Tietoturvatutkija Kevin Beaumont testasi tunnuksia yhdestä organisaatiosta, joka väitti vaihtaneensa kaiken. Hänen havaintonsa: "Melkein jokainen toimi" .

Tunnistamattomat tunnistetiedot

Suuri osa vuodetuista tiedostoista sisältää tietokantasalasanoja, API-avaimia ja pilvitunnuksia ilman yrityksen sähköpostia, omaa verkkotunnusta tai sisäistä palvelimen nimeä, joiden perusteella omistava organisaatio voitaisiin tunnistaa. Nämä organisaatiot eivät voi tietää olevansa vaarassa .

Altistuminen vs. vahvistettu kompromissi

Yli 2 500 organisaation luku heijastaa rekonstruoitua altistusta, ei vahvistettua kompromissia jokaiselle organisaatiolle. CloudSEK korostaa, että jokaisen listatun organisaation tulisi tehdä itsenäinen tarkistus . Mutta tietoaineisto on nyt useiden uhkatiedusteluyritysten hallussa, ja vuodon luonnollinen kierto tarkoittaa, että laajempi leviäminen on odotettavissa.

Keskeiset opit organisaatioille

Jokaisen organisaation, joka:

• Käytti LiteLLM:n versioita 1.82.7 tai 1.82.8
• Käytti CI/CD-putkia, jotka käyttivät näitä versioita
• Käytti vaarantunutta Trivy-skanneria 19.–24. maaliskuuta 2026 välisenä aikana

...tulisi käsitellä kaikkia kyseiselle ympäristölle saatavilla olevia salaisuuksia vaarantuneina ja vaihtaa ne välittömästi, vaikka ilmeistä hyökkäystä ei olisi havaittu . FBI:n FLASH-tiedote vahvistaa tämän: käsittele vuodettuja tunnistetietoja jatkuvana riskinä, koska siihen liittyvät toimijat todennäköisesti käyttävät niitä aseena .

TeamPCP osoitti, että yksi vaihtamaton tunnus, kolmen työkalun päässä voi muuttaa yhden tunnusvuodon koko ekosysteemin laajuiseksi altistukseksi. LiteLLM-hyökkäys on karu muistutus siitä, että nykyaikaisissa ohjelmistojen toimitusketjuissa työkalu, johon luotat haavoittuvuuksien löytämisessä, voi itse muuttua haavoittuvuudeksi.