Serangan Rantai Pasok LiteLLM: Lebih dari 2.500 Organisasi Terpapar, Banyak Rahasia Belum Diganti

Hari 1: Trivy (19 Maret)

TeamPCP mendapatkan akses awal ke infrastruktur Aqua Security dengan mengeksploitasi kesalahan konfigurasi pada workflow pull_request_target — celah yang dikenal sebagai "PwnRequest" . Mereka mencegat token akses pribadi yang baru dirotasi untuk akun layanan aqua-bot dan memaksa push (force-push) tag versi untuk menunjuk ke komit jahat. Sebanyak 76 dari 77 tag trivy-action dan seluruh 7 tag setup-trivy dibajak . Kompromi pertama ini dilacak sebagai CVE-2026-33634 (CVSS 9.8 Kritis) .

Hari 2: KICS (23 Maret)

Menggunakan token yang dicuri dari korban Trivy, TeamPCP masuk sebagai akun layanan cx-plugins-releases milik Checkmarx dan merilis versi jahat KICS .

Hari 3: LiteLLM (24 Maret)

Pipeline build LiteLLM secara otomatis menginstal pemindai Trivy yang sudah dikompromikan, memberikan malware akses baca ke lingkungan runner. TeamPCP mencuri token publikasi PyPI LiteLLM dan merilis dua versi berbahaya — versi 1.82.7 dan 1.82.8 — ke PyPI . Paket berbahaya tersebut hanya aktif selama sekitar 40 menit sebelum ditemukan .

Muatan (Payload)

Malware LiteLLM menggunakan payload tiga tahap :

• Pemanen kredensial yang menargetkan 50+ kategori rahasia (secrets)
• Toolkit pergerakan lateral Kubernetes yang eskalasi ke root dan menggunakan pod istimewa
• Backdoor persisten untuk eksekusi kode jarak jauh

Malware ini menggunakan injeksi file .pth untuk mengeksekusi secara otomatis setiap kali interpreter Python dijalankan, tanpa perlu impor eksplisit — sehingga sangat sulit dideteksi . Pada runner yang dikompromikan, payload — dilacak oleh Google sebagai SANDCLOCK — menyapu kunci SSH, kredensial AWS/GCP/Azure, token akun layanan Kubernetes, dan kata sandi database .

Organisasi yang Terdampak

Korban yang disebutkan oleh beberapa firma intelijen ancaman meliputi :

Teknologi: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Perusahaan Besar: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekomunikasi/Media: Orange, BT Group, SiriusXM/AdsWizz
Lainnya: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Komisi Eropa (European Commission) juga ditembus melalui kompromi awal Trivy, yang mengakibatkan pencurian kredensial manajemen AWS dan ~340 GB data tanpa kompresi dicuri, memengaruhi 42 klien internal dan 29 entitas UE tambahan .

Skala Paparan Kredensial

Jenis data yang dicuri meliputi :

• Kunci IAM cloud (AWS, GCP, Azure)
• Kunci SSH dan rahasia Kubernetes
• Kata sandi database dan rahasia klien Salesforce
• Rahasia penandatanganan Slack dan variabel lingkungan
• Kunci API penyedia AI (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI mengeluarkan peringatan FLASH pada 2 Juli 2026 yang memperingatkan bahwa organisasi yang terkena kampanye ini harus memperlakukan data dan kredensial yang tereksfiltrasi sebagai risiko persisten karena aktor terkait kemungkinan akan mempersenjatainya .

Risiko Berkelanjutan dari Rahasia yang Belum Dirotasi

Meskipun tingkat keparahan pelanggaran tinggi, risikonya masih jauh dari terkendali karena beberapa alasan:

Arsip Belum Bocor

Hudson Rock, yang memperoleh dan menganalisis arsip tersebut, melaporkan bahwa dataset 153 GB belum beredar luas — menyebutnya sebagai "jendela kesempatan kritis" bagi organisasi untuk memutar kunci sebelum akhirnya bocor .

Banyak Organisasi Belum Memutar Kunci

Peneliti keamanan Kevin Beaumont menguji kredensial dari satu organisasi yang mengaku telah memutar semua kuncinya. Temuannya: "Hampir semuanya masih berfungsi" .

Kredensial Tidak Teridentifikasi

Sebagian besar file yang dibuang berisi kata sandi database, kunci API, dan kredensial cloud tanpa alamat email perusahaan, domain kustom, atau nama server internal untuk mengidentifikasi organisasi pemiliknya. Organisasi tersebut tidak tahu bahwa mereka terkena dampak .

Paparan vs. Kompromi Terkonfirmasi

Angka 2.500+ mencerminkan paparan yang direkonstruksi, bukan kompromi terkonfirmasi untuk setiap organisasi. CloudSEK menekankan bahwa setiap organisasi yang tercantum harus melakukan verifikasi secara mandiri . Namun, dataset kini berada di tangan beberapa firma intelijen ancaman, dan siklus alami pelanggaran berarti sirkulasi yang lebih luas diperkirakan terjadi.

Poin Penting bagi Organisasi

Organisasi mana pun yang:

• Menjalankan LiteLLM versi 1.82.7 atau 1.82.8
• Memiliki pipeline CI/CD yang menggunakan versi tersebut
• Menggunakan pemindai Trivy yang dikompromikan antara 19-24 Maret 2026

...harus memperlakukan semua rahasia yang dapat diakses oleh lingkungan tersebut sebagai telah dikompromikan dan segera memutarnya, meskipun tidak ada pelanggaran yang terdeteksi . Peringatan FLASH FBI menegaskan hal ini: perlakukan kredensial yang tereksfiltrasi sebagai risiko persisten karena aktor terkait kemungkinan akan mempersenjatainya .

TeamPCP menunjukkan bahwa satu token yang tidak dicabut, di kedalaman tiga alat, dapat mengubah kebocoran kredensial tunggal menjadi paparan di seluruh ekosistem. Serangan LiteLLM adalah pengingat nyata bahwa dalam rantai pasok perangkat lunak modern, alat yang Anda percaya untuk menemukan kerentanan justru dapat menjadi kerentanan itu sendiri.