40 मिनट, 2,500 कंपनियां: LiteLLM सप्लाई चेन अटैक की पूरी कहानी

TeamPCP ने चुराए गए PyPI पब्लिशिंग क्रेडेंशियल का उपयोग करके इन रिलीज़ को सीधे PyPI पर पुश किया, जिससे LiteLLM की सामान्य GitHub-आधारित रिलीज़ प्रक्रिया को बायपास कर दिया । ग्रुप ने उसी समय सीमा में अन्य दुर्भावनापूर्ण गतिविधियों को भी अंजाम दिया, जिसमें 15 संगठन रिपॉजिटरी को खराब करना, 182 व्यक्तिगत रिपॉजिटरी को मिटाना और 70 प्राइवेट BerriAI (LiteLLM की मूल संस्था) रिपॉजिटरी को सार्वजनिक करना शामिल है ।

हमला कैसे काम किया: एक श्रृंखलाबद्ध सप्लाई चेन समझौता

यह हमला एक श्रृंखलाबद्ध सप्लाई चेन समझौते का क्लासिक उदाहरण है। TeamPCP ने सीधे LiteLLM पर हमला नहीं किया। इसके बजाय, उन्होंने भरोसे की एक श्रृंखला का शोषण किया:

1. पहला समझौता: Trivy – 19 मार्च को, TeamPCP ने एक क्रेडेंशियल का उपयोग करके Trivy GitHub Actions पाइपलाइन तक पहुंच बनाई, जिसे रोटेट तो किया गया था लेकिन पूरी तरह रिवोक नहीं किया गया था । उन्होंने दुर्भावनापूर्ण Trivy रिलीज़ प्रकाशित कीं जिनमें एक क्रेडेंशियल-चुराने वाला पेलोड था, जो समझौता किए गए स्कैनर को इंस्टॉल करने वाले किसी भी CI/CD रनर में इंजेक्ट हो जाता था।
2. दूसरा समझौता: LiteLLM – LiteLLM की अपनी CI/CD पाइपलाइन ने एक सिक्योरिटी स्टेप के रूप में स्वचालित रूप से Trivy वल्नरेबिलिटी स्कैनर इंस्टॉल किया। जब पाइपलाइन 24 मार्च को चली, तो उसने पॉइजन किए गए Trivy वर्जन को खींच लिया। Trivy के अंदर मौजूद मैलिशियस पेलोड ने CI रनर के एनवायरनमेंट को स्क्रैप करके LiteLLM के PyPI पब्लिशिंग टोकन और GitHub क्रेडेंशियल निकाल लिए ।
3. तीसरा समझौता: PyPI उपयोगकर्ता – LiteLLM के PyPI क्रेडेंशियल से लैस होकर, TeamPCP ने PyPI पर मैलिशियस LiteLLM रिलीज़ पुश कर दीं। कोई भी डेवलपर या संगठन जिसने

   pip install litellm==1.82.7

   या 1.82.8 चलाया - या जिसकी CI/CD पाइपलाइन ने स्वचालित रूप से नवीनतम वर्जन खींच लिया - उसके बिल्ड एनवायरनमेंट से सीक्रेट स्क्रैप कर लिए गए।

जैसा कि CloudSEK ने नोट किया, "हमला LiteLLM के CI/CD सिक्योरिटी स्कैनिंग वर्कफ़्लो में इस्तेमाल Trivy डिपेंडेंसी से उत्पन्न हुआ" । LiteLLM समझौते के लिए कोई CVE नहीं है क्योंकि LiteLLM के अपने कोड में कुछ भी कमजोर नहीं था; कमजोरी LiteLLM की बिल्ड पाइपलाइन और उसके सिक्योरिटी स्कैनिंग टूल के बीच भरोसे के रिश्ते में थी ।

डेटा चोरी का पैमाना

डेटा चोरी का पूरा पैमाना पांच महीने बाद तब स्पष्ट हुआ जब कई थ्रेट-इंटेलिजेंस फर्मों ने अपने विश्लेषण प्रकाशित किए:

• हडसन रॉक ने स्वतंत्र रूप से हमलावरों का कच्चा एक्सफिल्ट्रेशन आर्काइव प्राप्त किया और उसका विश्लेषण किया: एक 153 GB RAR फ़ाइल जिसमें 433,909 फ़ाइलें और 118,829 CI रनर डंप थे, जो 2,488 कॉरपोरेट डोमेन से संबंधित थे ।
• क्लाउडसेक ने लगभग 434,000 कैप्चर की गई CI/CD पाइपलाइन फ़ाइलों का पुनर्निर्माण किया और 2,500 से अधिक संभावित रूप से उजागर संगठनों की पहचान की । क्लाउडसेक ने इस घटना को 2026 में अब तक की AI इंफ्रास्ट्रक्चर को लक्षित करने वाला सबसे बड़ा सप्लाई चेन हमला बताया ।
• समझौता किए गए डेटा में क्लाउड प्लेटफॉर्म क्रेडेंशियल (AWS, GCP, Azure), AI प्रदाता API की (OpenAI, Anthropic, Cohere, आदि), SSH प्राइवेट की, Kubernetes सर्विस अकाउंट टोकन, Docker रजिस्ट्री लॉगिन, .env फ़ाइलें, डेटाबेस कनेक्शन स्ट्रिंग, Slack साइनिंग सीक्रेट, Salesforce क्लाइंट सीक्रेट और Git क्रेडेंशियल शामिल थे ।

FBI ने 2 जुलाई, 2026 को एक फ्लैश एडवाइजरी (FLASH-20260702-01) जारी की, जिसमें चेतावनी दी गई कि संबंधित अभिनेता प्रारंभिक समझौते के लंबे समय बाद भी TeamPCP अभियान के दौरान एक्सफिल्ट्रेट किए गए क्रेडेंशियल को हथियार बनाने की संभावना रखते हैं। इसने संगठनों को प्रासंगिक एक्सपोज़र विंडो के दौरान सुलभ CI/CD सीक्रेट, पब्लिशिंग टोकन और क्लाउड क्रेडेंशियल को रोटेट करने का निर्देश दिया ।

प्रभावित संगठन

उजागर डोमेन में टेक्नोलॉजी, वित्त, औद्योगिक और दूरसंचार क्षेत्रों के प्रमुख उद्यम शामिल थे। कई स्रोतों से पुष्टि किए गए नामित संगठनों में शामिल हैं :

• टेक्नोलॉजी: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (पूर्व में Twitter), Zscaler, Roku, Epic Games
• औद्योगिक: Volkswagen, Siemens, FedEx
• वित्तीय: S&P Global, Deloitte
• दूरसंचार: BT Group, Vodafone

क्लाउडसेक के डेटासेट में इन संगठनों से संबंधित कॉरपोरेट डोमेन, रिपॉजिटरी, क्रेडेंशियल या इंफ्रास्ट्रक्चर से जुड़े "उच्च-विश्वास वाले मैच" शामिल थे । हडसन रॉक ने नोट किया कि आर्काइव में घटना के महीनों बाद भी कई संगठनों के लिए "अभी भी मान्य" क्रेडेंशियल मौजूद थे ।

केविन ब्यूमोंट की पोस्ट-इंसीडेंट जांच

ब्रीच के पांच महीने बाद, स्वतंत्र सिक्योरिटी रिसर्चर केविन ब्यूमोंट ने एक महत्वपूर्ण वास्तविकता जांच की। Ars Technica रिपोर्ट के बाद, ब्यूमोंट ने एक बड़ी अमेरिकी टेक्नोलॉजी कंपनी के समझौता किए गए क्रेडेंशियल का परीक्षण किया, जिसने सार्वजनिक रूप से दावा किया था कि उसने "सब कुछ रोटेट कर दिया है।" एक जिम्मेदार-प्रकटीकरण नीति का उपयोग करते हुए, उसने क्रेडेंशियल का परीक्षण किया और पाया कि "लगभग हर एक काम कर गया" – जिसका अर्थ है कि संगठन ने दावा करने के बावजूद वास्तव में अपने समझौता किए गए सीक्रेट को रोटेट नहीं किया था ।

यह निष्कर्ष एक महत्वपूर्ण सबक रेखांकित करता है: क्रेडेंशियल रोटेशन के बारे में बयान और वास्तविक क्रेडेंशियल रोटेशन अक्सर दो अलग-अलग चीजें होती हैं, और इस हमले से चुराए गए क्रेडेंशियल एक सक्रिय खतरा बने हुए हैं।

तत्काल सिफारिश

उन सभी सीक्रेट, API की, क्लाउड क्रेडेंशियल, SSH की, Kubernetes कॉन्फ़िगरेशन और अन्य संवेदनशील डेटा को पूरी तरह से समझौता मानें जो LiteLLM वर्जन 1.82.7 या 1.82.8 के लिए सुलभ थे। 24 मार्च, 2026 की विंडो के दौरान उजागर हो सकने वाले हर क्रेडेंशियल का तत्काल रोटेशन आवश्यक है – भले ही कोई संगठन मानता हो कि उसने उन्हें पहले ही रोटेट कर लिया है ।

इस हमले को 2026 का सबसे बड़ा AI इंफ्रास्ट्रक्चर सप्लाई चेन ब्रीच माना जाता है, और चुराया गया डेटा फॉलो-ऑन घुसपैठ के लिए एक स्थायी खतरा बना हुआ है, जैसा कि ब्यूमोंट के क्रेडेंशियल परीक्षण से प्रदर्शित हुआ है । FBI ने चेतावनी दी है कि फॉलो-ऑन टार्गेटिंग की संभावना है, और 153GB आर्काइव में मान्य क्रेडेंशियल का खजाना खतरे के अभिनेताओं के लिए एक ऐसा तोहफा है जो देता ही रहता है।

यदि आपके संगठन ने 24 मार्च, 2026 को किसी भी क्षमता में LiteLLM का उपयोग किया है, तो समझौता मानें। मैलिशियस .pth फ़ाइल (litellm_init.pth) और परसिस्टेंस बैकडोर (~/.config/sysmon/sysmon.py) की जांच करें,

pip show litellm