L'attacco da 40 minuti che ha esposto oltre 2.500 aziende: la cronaca completa della breach alla supply chain di LiteLLM del marzo 2026

TeamPCP ha utilizzato le credenziali di pubblicazione PyPI rubate per pubblicare queste release direttamente su PyPI, bypassando il normale processo di rilascio basato su GitHub di LiteLLM . Il gruppo ha anche compresso ulteriori attività malevole nella stessa finestra, tra cui il defacing di 15 repository di organizzazioni, la cancellazione di 182 repository personali e la pubblicazione di 70 repository privati di BerriAI (l'organizzazione madre di LiteLLM) .

Come ha funzionato l'attacco: un compromesso a cascata della supply chain

L'attacco è un esempio da manuale di compromesso a cascata della supply chain. TeamPCP non ha attaccato LiteLLM direttamente. Invece, ha sfruttato una catena di fiducia:

1. Primo compromesso: Trivy – Il 19 marzo, TeamPCP ha ottenuto l'accesso alla pipeline GitHub Actions di Trivy utilizzando una credenziale che era stata ruotata ma non completamente revocata . Hanno pubblicato release malevole di Trivy che iniettavano un payload per il furto di credenziali in qualsiasi runner CI/CD che installasse lo scanner compromesso.
2. Secondo compromesso: LiteLLM – La pipeline CI/CD di LiteLLM installava automaticamente lo scanner di vulnerabilità Trivy come passaggio di sicurezza. Quando la pipeline è stata eseguita il 24 marzo, ha scaricato la versione avvelenata di Trivy. Il payload malevolo all'interno di Trivy ha raschiato l'ambiente del runner CI, estraendo i token di pubblicazione PyPI e le credenziali GitHub di LiteLLM .
3. Terzo compromesso: utenti di PyPI – Armati delle credenziali PyPI di LiteLLM, TeamPCP ha pubblicato release malevole di LiteLLM su PyPI. Qualsiasi sviluppatore o organizzazione che eseguisse

   pip install litellm==1.82.7

   o 1.82.8 — o la cui pipeline CI/CD scaricasse automaticamente l'ultima versione — avrebbe visto il proprio ambiente di build raschiato di segreti.

Come ha notato CloudSEK, "l'attacco ha avuto origine dalla dipendenza Trivy utilizzata nel flusso di lavoro di scansione della sicurezza CI/CD di [LiteLLM]" . Non esiste un CVE per il compromesso di LiteLLM stesso perché nulla nel codice di LiteLLM era vulnerabile; la vulnerabilità risiedeva nella relazione di fiducia tra la pipeline di build di LiteLLM e il suo strumento di scansione della sicurezza .

Entità dell'esfiltrazione dei dati

L'intera portata del furto di dati è diventata chiara solo cinque mesi dopo, quando diverse società di intelligence sulle minacce hanno pubblicato le loro analisi:

• Hudson Rock ha ottenuto e analizzato in modo indipendente l'archivio di esfiltrazione grezzo degli aggressori: un file RAR di 153 GB contenente esattamente 433.909 file e 118.829 dump di runner CI, attribuiti a 2.488 domini aziendali .
• CloudSEK ha ricostruito circa 434.000 file di pipeline CI/CD catturati e identificato oltre 2.500 organizzazioni potenzialmente esposte . CloudSEK ha descritto l'incidente come il più grande attacco alla supply chain mirato all'infrastruttura AI identificato finora nel 2026 .
• I dati compromessi includevano credenziali di piattaforme cloud (AWS, GCP, Azure), chiavi API di provider AI (OpenAI, Anthropic, Cohere, ecc.), chiavi private SSH, token degli account di servizio Kubernetes, login per registry Docker, file .env, stringhe di connessione di database, segreti di firma di Slack, segreti client di Salesforce e credenziali Git .

L'FBI ha emesso un avviso urgente il 2 luglio 2026 (FLASH-20260702-01) avvertendo che gli attori affiliati avrebbero probabilmente armato le credenziali esfiltrate durante la campagna TeamPCP molto dopo il compromesso iniziale. Ha consigliato alle organizzazioni di ruotare i segreti CI/CD, i token di pubblicazione e le credenziali cloud accessibili durante le finestre di esposizione rilevanti .

Organizzazioni colpite

I domini esposti includevano grandi imprese nei settori tecnologico, finanziario, industriale e delle telecomunicazioni. Le organizzazioni nominate e confermate da più fonti includono :

• Tecnologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (ex Twitter), Zscaler, Roku, Epic Games
• Industriale: Volkswagen, Siemens, FedEx
• Finanziario: S&P Global, Deloitte
• Telecomunicazioni: BT Group, Vodafone

Il set di dati di CloudSEK conteneva "corrispondenze ad alta confidenza" legate a domini aziendali, repository, credenziali o infrastrutture appartenenti a queste organizzazioni . Hudson Rock ha notato che l'archivio conteneva credenziali "ancora valide" per molte di queste organizzazioni mesi dopo l'incidente .

Il test post-incidente di Kevin Beaumont

Cinque mesi dopo la breach, il ricercatore di sicurezza indipendente Kevin Beaumont ha condotto un controllo di realtà cruciale. Dopo il rapporto di Ars Technica sulla breach, Beaumont ha testato le credenziali compromesse di una grande azienda tecnologica statunitense che aveva dichiarato pubblicamente di aver "ruotato tutto". Utilizzando una politica di divulgazione responsabile, ha testato le credenziali e ha scoperto che "quasi tutte funzionavano" — il che significa che l'organizzazione non aveva effettivamente ruotato i propri segreti compromessi nonostante lo avesse dichiarato .

Questa scoperta sottolinea una lezione critica: le dichiarazioni sulla rotazione delle credenziali e la rotazione effettiva delle credenziali sono spesso due cose diverse, e le credenziali rubate da questo attacco rimangono una minaccia attiva.

Raccomandazione urgente

Considera tutti i segreti, le chiavi API, le credenziali cloud, le chiavi SSH, le configurazioni Kubernetes e qualsiasi altro dato sensibile che fosse accessibile alle versioni 1.82.7 o 1.82.8 di LiteLLM come completamente compromessi. La rotazione immediata di ogni credenziale che potrebbe essere stata esposta durante la finestra del 24 marzo 2026 è essenziale, indipendentemente dal fatto che un'organizzazione creda di averle già ruotate .

L'attacco è considerato la più grande breach alla supply chain dell'infrastruttura AI del 2026, e i dati rubati rimangono una minaccia persistente per intrusioni successive, come dimostrato dal test delle credenziali di Beaumont . L'FBI ha avvertito che è probabile un targeting successivo, e il tesoro di credenziali valide nell'archivio da 153 GB è un regalo che continua a fare danni per gli attori delle minacce.

Se la tua organizzazione ha utilizzato LiteLLM in qualsiasi veste il 24 marzo 2026, presupponi un compromesso. Controlla la presenza del file .pth malevolo (litellm_init.pth) e del backdoor di persistenza (~/.config/sysmon/sysmon.py), verifica la versione installata con

pip show litellm