TeamPCP menggunakan kredensial penerbitan PyPI yang dicuri untuk mendorong rilis ini langsung ke PyPI, melewati proses rilis normal LiteLLM yang berbasis GitHub . Grup ini juga memadatkan aktivitas berbahaya tambahan ke dalam jendela yang sama, termasuk merusak 15 repositori organisasi, menghapus 182 repositori pribadi, dan membuat 70 repositori pribadi BerriAI (organisasi induk LiteLLM) menjadi publik .

Bagaimana Serangan Bekerja: Pembobolan Rantai Pasok Berantai

Serangan ini adalah contoh klasik pembobolan rantai pasok berantai. TeamPCP tidak menyerang LiteLLM secara langsung. Sebaliknya, mereka mengeksploitasi rantai kepercayaan:

1. Pembobolan pertama: Trivy – Pada 19 Maret, TeamPCP mendapatkan akses ke pipeline GitHub Actions Trivy menggunakan kredensial yang telah dirotasi tetapi tidak sepenuhnya dicabut . Mereka menerbitkan rilis Trivy berbahaya yang menyuntikkan muatan pencuri kredensial ke dalam setiap runner CI/CD yang menginstal pemindai yang terkompromi.
2. Pembobolan kedua: LiteLLM – Pipeline CI/CD LiteLLM sendiri secara otomatis menginstal pemindai kerentanan Trivy sebagai langkah keamanan. Ketika pipeline berjalan pada 24 Maret, ia menarik versi Trivy yang sudah diracuni. Muatan berbahaya di dalam Trivy mengikis lingkungan runner CI, mengekstrak token penerbitan PyPI LiteLLM dan kredensial GitHub .
3. Pembobolan ketiga: Pengguna PyPI – Dengan kredensial PyPI LiteLLM, TeamPCP mendorong rilis LiteLLM berbahaya ke PyPI. Setiap pengembang atau organisasi yang menjalankan pip install litellm==1.82.7 atau 1.82.8—atau yang pipeline CI/CD-nya secara otomatis menarik versi terbaru—akan membuat lingkungan build mereka dikikis rahasianya.

Seperti yang dicatat CloudSEK, "serangan berasal dari ketergantungan Trivy yang digunakan dalam alur kerja pemindaian keamanan CI/CD [LiteLLM]" . Tidak ada CVE untuk pembobolan LiteLLM itu sendiri karena tidak ada apa pun dalam kode LiteLLM yang rentan; kerentanannya ada pada hubungan kepercayaan antara pipeline build LiteLLM dan alat pemindaian keamanannya .

Skala Penggelontoran Data

Skala penuh pencurian data baru menjadi jelas lima bulan kemudian ketika beberapa firma intelijen ancaman menerbitkan analisis mereka:

• Hudson Rock secara independen memperoleh dan menganalisis arsip penggelontoran mentah penyerang: file RAR sebesar 153 GB yang berisi tepat 433.909 file dan 118.829 dump runner CI, yang diatribusikan ke 2.488 domain perusahaan .
• CloudSEK merekonstruksi sekitar 434.000 file pipeline CI/CD yang tertangkap dan mengidentifikasi lebih dari 2.500 organisasi yang berpotensi terekspos . CloudSEK menggambarkan insiden ini sebagai serangan rantai pasok terbesar yang menargetkan infrastruktur AI yang teridentifikasi sejauh ini pada tahun 2026 .
• Data yang dikompromikan mencakup kredensial platform cloud (AWS, GCP, Azure), kunci API penyedia AI (OpenAI, Anthropic, Cohere, dll.), kunci privat SSH, token akun layanan Kubernetes, login registri Docker, file .env, string koneksi database, rahasia penandatanganan Slack, rahasia klien Salesforce, dan kredensial Git .

FBI mengeluarkan peringatan kilat pada 2 Juli 2026 (FLASH-20260702-01) yang memperingatkan bahwa aktor terkait kemungkinan akan mempersenjatai kredensial yang digelontorkan selama kampanye TeamPCP lama setelah pembobolan awal. FBI memerintahkan organisasi untuk merotasi rahasia CI/CD, token penerbitan, dan kredensial cloud yang dapat diakses selama jendela eksposur yang relevan .

Organisasi Terdampak

Domain yang terekspos mencakup perusahaan besar di sektor teknologi, keuangan, industri, dan telekomunikasi. Organisasi yang dikonfirmasi namanya dari berbagai sumber meliputi :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (sebelumnya Twitter), Zscaler, Roku, Epic Games
• Industri: Volkswagen, Siemens, FedEx
• Keuangan: S&P Global, Deloitte
• Telekomunikasi: BT Group, Vodafone

Dataset CloudSEK berisi "kecocokan keyakinan tinggi" yang terkait dengan domain perusahaan, repositori, kredensial, atau infrastruktur milik organisasi-organisasi ini . Hudson Rock mencatat arsip tersebut berisi kredensial yang "masih valid" untuk banyak organisasi ini berbulan-bulan setelah insiden .

Pengujian Pascainsiden oleh Kevin Beaumont

Lima bulan setelah pembobolan, peneliti keamanan independen Kevin Beaumont melakukan pemeriksaan realita yang krusial. Setelah laporan Ars Technica tentang pembobolan, Beaumont menguji kredensial yang dikompromikan dari perusahaan teknologi besar AS yang secara terbuka mengklaim telah "merotasi semuanya." Dengan menggunakan kebijakan pengungkapan yang bertanggung jawab, dia menguji kredensial tersebut dan menemukan bahwa "hampir semuanya berfungsi" —artinya organisasi itu sebenarnya belum merotasi rahasia yang telah dikompromikan meskipun mengaku sebaliknya .

Temuan ini menekankan pelajaran kritis: pernyataan tentang rotasi kredensial dan rotasi kredensial aktual seringkali adalah dua hal yang berbeda, dan kredensial curian dari serangan ini tetap menjadi ancaman langsung.

Rekomendasi Mendesak

Perlakukan semua rahasia, kunci API, kredensial cloud, kunci SSH, konfigurasi Kubernetes, dan data sensitif lainnya yang dapat diakses oleh LiteLLM versi 1.82.7 atau 1.82.8 sebagai sepenuhnya dikompromikan. Rotasi segera setiap kredensial yang mungkin telah terekspos selama jendela 24 Maret 2026 sangat penting—terlepas dari apakah suatu organisasi yakin telah merotasinya atau tidak .

Serangan ini dianggap sebagai pembobolan rantai pasok infrastruktur AI terbesar tahun 2026, dan data curian tetap menjadi ancaman persisten untuk intrusi lanjutan, seperti yang ditunjukkan oleh pengujian kredensial Beaumont . FBI telah memperingatkan bahwa penargetan lanjutan sangat mungkin terjadi, dan harta karun kredensial valid dalam arsip 153GB adalah hadiah yang terus memberi untuk aktor ancaman.

Jika organisasi Anda menggunakan LiteLLM dalam kapasitas apa pun pada 24 Maret 2026, asumsikan telah terjadi kompromi. Periksa file .pth berbahaya (litellm_init.pth) dan pintu belakang persistensi (~/.config/sysmon/sysmon.py), verifikasi versi yang terinstal dengan pip show litellm, dan rotasi setiap kredensial yang dapat diakses dari host yang terkena dampak—kunci cloud, kunci API penyedia AI, token Kubernetes, kunci SSH, dan token CI/CD .

TeamPCP menggunakan kredensial penerbitan PyPI yang dicuri untuk mendorong rilis ini langsung ke PyPI, melewati proses rilis normal LiteLLM yang berbasis GitHub . Grup ini juga memadatkan aktivitas berbahaya tambahan ke dalam jendela yang sama, termasuk merusak 15 repositori organisasi, menghapus 182 repositori pribadi, dan membuat 70 repositori pribadi BerriAI (organisasi induk LiteLLM) menjadi publik .

Bagaimana Serangan Bekerja: Pembobolan Rantai Pasok Berantai

Serangan ini adalah contoh klasik pembobolan rantai pasok berantai. TeamPCP tidak menyerang LiteLLM secara langsung. Sebaliknya, mereka mengeksploitasi rantai kepercayaan:

1. Pembobolan pertama: Trivy – Pada 19 Maret, TeamPCP mendapatkan akses ke pipeline GitHub Actions Trivy menggunakan kredensial yang telah dirotasi tetapi tidak sepenuhnya dicabut . Mereka menerbitkan rilis Trivy berbahaya yang menyuntikkan muatan pencuri kredensial ke dalam setiap runner CI/CD yang menginstal pemindai yang terkompromi.
2. Pembobolan kedua: LiteLLM – Pipeline CI/CD LiteLLM sendiri secara otomatis menginstal pemindai kerentanan Trivy sebagai langkah keamanan. Ketika pipeline berjalan pada 24 Maret, ia menarik versi Trivy yang sudah diracuni. Muatan berbahaya di dalam Trivy mengikis lingkungan runner CI, mengekstrak token penerbitan PyPI LiteLLM dan kredensial GitHub .
3. Pembobolan ketiga: Pengguna PyPI – Dengan kredensial PyPI LiteLLM, TeamPCP mendorong rilis LiteLLM berbahaya ke PyPI. Setiap pengembang atau organisasi yang menjalankan pip install litellm==1.82.7 atau 1.82.8—atau yang pipeline CI/CD-nya secara otomatis menarik versi terbaru—akan membuat lingkungan build mereka dikikis rahasianya.

Seperti yang dicatat CloudSEK, "serangan berasal dari ketergantungan Trivy yang digunakan dalam alur kerja pemindaian keamanan CI/CD [LiteLLM]" . Tidak ada CVE untuk pembobolan LiteLLM itu sendiri karena tidak ada apa pun dalam kode LiteLLM yang rentan; kerentanannya ada pada hubungan kepercayaan antara pipeline build LiteLLM dan alat pemindaian keamanannya .

Skala Penggelontoran Data

Skala penuh pencurian data baru menjadi jelas lima bulan kemudian ketika beberapa firma intelijen ancaman menerbitkan analisis mereka:

• Hudson Rock secara independen memperoleh dan menganalisis arsip penggelontoran mentah penyerang: file RAR sebesar 153 GB yang berisi tepat 433.909 file dan 118.829 dump runner CI, yang diatribusikan ke 2.488 domain perusahaan .
• CloudSEK merekonstruksi sekitar 434.000 file pipeline CI/CD yang tertangkap dan mengidentifikasi lebih dari 2.500 organisasi yang berpotensi terekspos . CloudSEK menggambarkan insiden ini sebagai serangan rantai pasok terbesar yang menargetkan infrastruktur AI yang teridentifikasi sejauh ini pada tahun 2026 .
• Data yang dikompromikan mencakup kredensial platform cloud (AWS, GCP, Azure), kunci API penyedia AI (OpenAI, Anthropic, Cohere, dll.), kunci privat SSH, token akun layanan Kubernetes, login registri Docker, file .env, string koneksi database, rahasia penandatanganan Slack, rahasia klien Salesforce, dan kredensial Git .

FBI mengeluarkan peringatan kilat pada 2 Juli 2026 (FLASH-20260702-01) yang memperingatkan bahwa aktor terkait kemungkinan akan mempersenjatai kredensial yang digelontorkan selama kampanye TeamPCP lama setelah pembobolan awal. FBI memerintahkan organisasi untuk merotasi rahasia CI/CD, token penerbitan, dan kredensial cloud yang dapat diakses selama jendela eksposur yang relevan .

Organisasi Terdampak

Domain yang terekspos mencakup perusahaan besar di sektor teknologi, keuangan, industri, dan telekomunikasi. Organisasi yang dikonfirmasi namanya dari berbagai sumber meliputi :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (sebelumnya Twitter), Zscaler, Roku, Epic Games
• Industri: Volkswagen, Siemens, FedEx
• Keuangan: S&P Global, Deloitte
• Telekomunikasi: BT Group, Vodafone

Dataset CloudSEK berisi "kecocokan keyakinan tinggi" yang terkait dengan domain perusahaan, repositori, kredensial, atau infrastruktur milik organisasi-organisasi ini . Hudson Rock mencatat arsip tersebut berisi kredensial yang "masih valid" untuk banyak organisasi ini berbulan-bulan setelah insiden .

Pengujian Pascainsiden oleh Kevin Beaumont

Lima bulan setelah pembobolan, peneliti keamanan independen Kevin Beaumont melakukan pemeriksaan realita yang krusial. Setelah laporan Ars Technica tentang pembobolan, Beaumont menguji kredensial yang dikompromikan dari perusahaan teknologi besar AS yang secara terbuka mengklaim telah "merotasi semuanya." Dengan menggunakan kebijakan pengungkapan yang bertanggung jawab, dia menguji kredensial tersebut dan menemukan bahwa "hampir semuanya berfungsi" —artinya organisasi itu sebenarnya belum merotasi rahasia yang telah dikompromikan meskipun mengaku sebaliknya .

Temuan ini menekankan pelajaran kritis: pernyataan tentang rotasi kredensial dan rotasi kredensial aktual seringkali adalah dua hal yang berbeda, dan kredensial curian dari serangan ini tetap menjadi ancaman langsung.

Rekomendasi Mendesak

Perlakukan semua rahasia, kunci API, kredensial cloud, kunci SSH, konfigurasi Kubernetes, dan data sensitif lainnya yang dapat diakses oleh LiteLLM versi 1.82.7 atau 1.82.8 sebagai sepenuhnya dikompromikan. Rotasi segera setiap kredensial yang mungkin telah terekspos selama jendela 24 Maret 2026 sangat penting—terlepas dari apakah suatu organisasi yakin telah merotasinya atau tidak .

Serangan ini dianggap sebagai pembobolan rantai pasok infrastruktur AI terbesar tahun 2026, dan data curian tetap menjadi ancaman persisten untuk intrusi lanjutan, seperti yang ditunjukkan oleh pengujian kredensial Beaumont . FBI telah memperingatkan bahwa penargetan lanjutan sangat mungkin terjadi, dan harta karun kredensial valid dalam arsip 153GB adalah hadiah yang terus memberi untuk aktor ancaman.

Jika organisasi Anda menggunakan LiteLLM dalam kapasitas apa pun pada 24 Maret 2026, asumsikan telah terjadi kompromi. Periksa file .pth berbahaya (litellm_init.pth) dan pintu belakang persistensi (~/.config/sysmon/sysmon.py), verifikasi versi yang terinstal dengan pip show litellm, dan rotasi setiap kredensial yang dapat diakses dari host yang terkena dampak—kunci cloud, kunci API penyedia AI, token Kubernetes, kunci SSH, dan token CI/CD .