Serangan 40 Menit yang Ekspos 2.500+ Perusahaan: Kronologi Lengkap Pembobolan Rantai Pasok LiteLLM Maret 2026

Pada Maret 2026, celah 40 menit di PyPI menjadi pemicu pembobolan rantai pasok infrastruktur AI terbesar tahun ini. Grup ancaman TeamPCP menerbitkan dua versi berbahaya LiteLLM, sebuah gerbang proksi AI open-source yang banyak digunakan, dan penggelontoran kredensial yang terjadi menyentuh lebih dari 2.500 organisasi global—termasuk Amazon, Microsoft, Cisco, NVIDIA, dan Samsung. Berikut kronologi lengkap, mekanisme serangan, dan dampak dari insiden ini.

Kronologi Serangan

Serangan terjadi selama beberapa hari di Maret 2026 melalui pembajakan alat keamanan tepercaya secara berantai. Tanggal-tanggal pentingnya adalah:

• 19 Maret 2026 – TeamPCP membobol Trivy milik Aqua Security, sebuah pemindai kerentanan open-source populer yang digunakan di pipeline CI/CD. Grup ini mengeksploitasi rotasi kredensial yang tidak tuntas di Aqua Security untuk memaksa push komit berbahaya ke 76 dari 77 tag versi trivy-action dan ketujuh tag setup-trivy . Pembobolan ini diberi kode CVE-2026-33634 .
• 24 Maret 2026, ~10:39 UTC – LiteLLM versi 1.82.7 diterbitkan ke PyPI. Kode berbahaya disuntikkan selama proses build CI/CD LiteLLM sendiri karena pipeline itu secara otomatis menginstal pemindai Trivy yang sudah teracuni sebagai bagian dari alur kerja pemindaian keamanannya .
• 24 Maret 2026, ~10:39–11:19 UTC – Versi 1.82.8 juga didorong. Pintu belakang dalam paket ini menjalankan muatan pencuri kredensial yang memanen kredensial cloud, kunci SSH, konfigurasi Kubernetes, kredensial database, kunci API, dan rahasia lainnya, lalu mengirimkannya ke server jarak jauh TeamPCP . Versi 1.82.8 sangat berbahaya: ia menginstal file .pth yang menjalankan muatan pada setiap pemanggilan Python, meskipun LiteLLM tidak pernah diimpor secara eksplisit .
• 24 Maret 2026, ~11:19 UTC – PyPI mengarantina proyek LiteLLM, sekitar 40 menit setelah versi berbahaya pertama diunggah. Namun, tim LiteLLM menyarankan untuk mencurigai semua instalasi hingga 16:00 UTC hari itu . Paket-paket itu diunduh lebih dari 119.000 kali selama jendela sekitar 2,5 jam sebelum karantina benar-benar efektif .

TeamPCP menggunakan kredensial penerbitan PyPI yang dicuri untuk mendorong rilis ini langsung ke PyPI, melewati proses rilis normal LiteLLM yang berbasis GitHub . Grup ini juga memadatkan aktivitas berbahaya tambahan ke dalam jendela yang sama, termasuk merusak 15 repositori organisasi, menghapus 182 repositori pribadi, dan membuat 70 repositori pribadi BerriAI (organisasi induk LiteLLM) menjadi publik .

Bagaimana Serangan Bekerja: Pembobolan Rantai Pasok Berantai

Serangan ini adalah contoh klasik pembobolan rantai pasok berantai. TeamPCP tidak menyerang LiteLLM secara langsung. Sebaliknya, mereka mengeksploitasi rantai kepercayaan:

1. Pembobolan pertama: Trivy – Pada 19 Maret, TeamPCP mendapatkan akses ke pipeline GitHub Actions Trivy menggunakan kredensial yang telah dirotasi tetapi tidak sepenuhnya dicabut . Mereka menerbitkan rilis Trivy berbahaya yang menyuntikkan muatan pencuri kredensial ke dalam setiap runner CI/CD yang menginstal pemindai yang terkompromi.
2. Pembobolan kedua: LiteLLM – Pipeline CI/CD LiteLLM sendiri secara otomatis menginstal pemindai kerentanan Trivy sebagai langkah keamanan. Ketika pipeline berjalan pada 24 Maret, ia menarik versi Trivy yang sudah diracuni. Muatan berbahaya di dalam Trivy mengikis lingkungan runner CI, mengekstrak token penerbitan PyPI LiteLLM dan kredensial GitHub .
3. Pembobolan ketiga: Pengguna PyPI – Dengan kredensial PyPI LiteLLM, TeamPCP mendorong rilis LiteLLM berbahaya ke PyPI. Setiap pengembang atau organisasi yang menjalankan

   pip install litellm==1.82.7

   atau 1.82.8—atau yang pipeline CI/CD-nya secara otomatis menarik versi terbaru—akan membuat lingkungan build mereka dikikis rahasianya.

Seperti yang dicatat CloudSEK, "serangan berasal dari ketergantungan Trivy yang digunakan dalam alur kerja pemindaian keamanan CI/CD [LiteLLM]" . Tidak ada CVE untuk pembobolan LiteLLM itu sendiri karena tidak ada apa pun dalam kode LiteLLM yang rentan; kerentanannya ada pada hubungan kepercayaan antara pipeline build LiteLLM dan alat pemindaian keamanannya .

Skala Penggelontoran Data

Skala penuh pencurian data baru menjadi jelas lima bulan kemudian ketika beberapa firma intelijen ancaman menerbitkan analisis mereka:

• Hudson Rock secara independen memperoleh dan menganalisis arsip penggelontoran mentah penyerang: file RAR sebesar 153 GB yang berisi tepat 433.909 file dan 118.829 dump runner CI, yang diatribusikan ke 2.488 domain perusahaan .
• CloudSEK merekonstruksi sekitar 434.000 file pipeline CI/CD yang tertangkap dan mengidentifikasi lebih dari 2.500 organisasi yang berpotensi terekspos . CloudSEK menggambarkan insiden ini sebagai serangan rantai pasok terbesar yang menargetkan infrastruktur AI yang teridentifikasi sejauh ini pada tahun 2026 .
• Data yang dikompromikan mencakup kredensial platform cloud (AWS, GCP, Azure), kunci API penyedia AI (OpenAI, Anthropic, Cohere, dll.), kunci privat SSH, token akun layanan Kubernetes, login registri Docker, file .env, string koneksi database, rahasia penandatanganan Slack, rahasia klien Salesforce, dan kredensial Git .

FBI mengeluarkan peringatan kilat pada 2 Juli 2026 (FLASH-20260702-01) yang memperingatkan bahwa aktor terkait kemungkinan akan mempersenjatai kredensial yang digelontorkan selama kampanye TeamPCP lama setelah pembobolan awal. FBI memerintahkan organisasi untuk merotasi rahasia CI/CD, token penerbitan, dan kredensial cloud yang dapat diakses selama jendela eksposur yang relevan .

Organisasi Terdampak

Domain yang terekspos mencakup perusahaan besar di sektor teknologi, keuangan, industri, dan telekomunikasi. Organisasi yang dikonfirmasi namanya dari berbagai sumber meliputi :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (sebelumnya Twitter), Zscaler, Roku, Epic Games
• Industri: Volkswagen, Siemens, FedEx
• Keuangan: S&P Global, Deloitte
• Telekomunikasi: BT Group, Vodafone

Dataset CloudSEK berisi "kecocokan keyakinan tinggi" yang terkait dengan domain perusahaan, repositori, kredensial, atau infrastruktur milik organisasi-organisasi ini . Hudson Rock mencatat arsip tersebut berisi kredensial yang "masih valid" untuk banyak organisasi ini berbulan-bulan setelah insiden .

Pengujian Pascainsiden oleh Kevin Beaumont

Lima bulan setelah pembobolan, peneliti keamanan independen Kevin Beaumont melakukan pemeriksaan realita yang krusial. Setelah laporan Ars Technica tentang pembobolan, Beaumont menguji kredensial yang dikompromikan dari perusahaan teknologi besar AS yang secara terbuka mengklaim telah "merotasi semuanya." Dengan menggunakan kebijakan pengungkapan yang bertanggung jawab, dia menguji kredensial tersebut dan menemukan bahwa "hampir semuanya berfungsi" —artinya organisasi itu sebenarnya belum merotasi rahasia yang telah dikompromikan meskipun mengaku sebaliknya .

Temuan ini menekankan pelajaran kritis: pernyataan tentang rotasi kredensial dan rotasi kredensial aktual seringkali adalah dua hal yang berbeda, dan kredensial curian dari serangan ini tetap menjadi ancaman langsung.

Rekomendasi Mendesak

Perlakukan semua rahasia, kunci API, kredensial cloud, kunci SSH, konfigurasi Kubernetes, dan data sensitif lainnya yang dapat diakses oleh LiteLLM versi 1.82.7 atau 1.82.8 sebagai sepenuhnya dikompromikan. Rotasi segera setiap kredensial yang mungkin telah terekspos selama jendela 24 Maret 2026 sangat penting—terlepas dari apakah suatu organisasi yakin telah merotasinya atau tidak .

Serangan ini dianggap sebagai pembobolan rantai pasok infrastruktur AI terbesar tahun 2026, dan data curian tetap menjadi ancaman persisten untuk intrusi lanjutan, seperti yang ditunjukkan oleh pengujian kredensial Beaumont . FBI telah memperingatkan bahwa penargetan lanjutan sangat mungkin terjadi, dan harta karun kredensial valid dalam arsip 153GB adalah hadiah yang terus memberi untuk aktor ancaman.

Jika organisasi Anda menggunakan LiteLLM dalam kapasitas apa pun pada 24 Maret 2026, asumsikan telah terjadi kompromi. Periksa file .pth berbahaya (litellm_init.pth) dan pintu belakang persistensi (~/.config/sysmon/sysmon.py), verifikasi versi yang terinstal dengan

pip show litellm