LiteLLMサプライチェーン攻撃、2,500以上の組織に影響 — 多くの組織が未だ秘密鍵をローテーションしていない

2日目：KICS（3月23日）

Trivyの被害者から盗んだトークンを使用して、TeamPCPはCheckmarxのcx-plugins-releasesサービスアカウントとして認証し、悪意のあるKICSリリースをプッシュしました。

3日目：LiteLLM（3月24日）

LiteLLMのビルドパイプラインは、侵害されたTrivyスキャナーを自動的にインストールしました。これにより、マルウェアがランナー環境への読み取りアクセスを獲得。TeamPCPはLiteLLMのPyPI公開トークンを盗み、2つの悪意のあるリリース（バージョン1.82.7および1.82.8）をPyPIに公開しました。これらの悪意のあるパッケージが公開されていたのは、発見されるまでのわずか約40分間でした。

ペイロード

LiteLLMのマルウェアは、3段階のペイロードを展開しました。

• 認証情報収集ハーベスター：50種類以上のシークレットを標的に
• Kubernetes横展開ツールキット：ルート権限に昇格し、特権Podを展開
• 持続的なバックドア：リモートコード実行を可能にする

このマルウェアは、.pthファイルインジェクションを使用し、明示的なインポートを必要とせず、すべてのPythonインタプリタ起動時に自動実行されるように仕組まれていました。そのため、検出が極めて困難でした。GoogleによってSANDCLOCKとして追跡されているこのペイロードは、侵害されたランナー上でSSHキー、AWS/GCP/Azure認証情報、Kubernetesサービスアカウントトークン、データベースパスワードなどをかき集めました。

影響を受けた組織

複数の脅威インテリジェンス企業によって特定された被害組織は以下の通りです。

テクノロジー： NVIDIA、AWS、Samsung、Salesforce、Cisco、ServiceNow、Microsoft、HP、NGINX、Zscaler、TomTom
エンタープライズ： Siemens、Volkswagen、FedEx、S&P Global、John Deere、Epic Games、Deloitte、Accenture Federal Services
通信/メディア： Orange、BT Group、SiriusXM/AdsWizz
その他： ロンドン証券取引所グループ、Regeneron Pharmaceuticals、ドイツ鉄道

さらに、欧州委員会も最初のTrivy侵害を介して侵害され、AWS管理認証情報が窃取されました。これにより、約340GBの非圧縮データが盗まれ、42の内部クライアントと29の追加EU機関が影響を受けました。

認証情報露出の規模

窃取されたデータの種類は以下の通りです。

• クラウドIAMキー（AWS、GCP、Azure）
• SSHキーおよびKubernetesシークレット
• データベースパスワード、Salesforceクライアントシークレット
• Slack署名シークレット、環境変数
• AIプロバイダーAPIキー（OpenAI、Anthropic、AWS Bedrock、Google Vertex AI）

FBIは2026年7月2日、FLASH勧告を発令し、このキャンペーンの被害に遭った組織に対し、窃取されたデータと認証情報を持続的リスクとして扱い、関連する攻撃者がそれらを武器化する可能性が高いと警告しました。

ローテーションされていないシークレットによる継続的なリスク

この侵害の深刻さにもかかわらず、リスクはいくつかの理由で収束していません。

アーカイブはまだリークされていない

アーカイブを入手・分析したHudson Rockによると、この153GBのデータセットはまだ広く流通していないとのことです。同社は、データが最終的にリークされる前に組織が鍵をローテーションするための「重要な機会の窓」と呼んでいます。

多くの組織が実際にはローテーションを行っていない

セキュリティ研究者のKevin Beaumont氏は、「すべてローテーション済み」と主張するある組織の認証情報をテストしました。その結果は「ほぼすべてが有効だった」とのことです。

識別不可能な認証情報

ダンプされたファイルの大部分には、データベースパスワード、APIキー、クラウド認証情報が含まれていますが、所有組織を特定するための企業メール、カスタムドメイン、内部サーバー名がありません。これらの組織は、自分たちが影響を受けていることを知る術がありません。

暴露と確認された侵害の違い

2,500以上の組織という数字は、再構築された暴露範囲を示しており、すべての組織について侵害が確認されたわけではありません。CloudSEKは、リストアップされたすべての組織が独立して検証する必要があると強調しています。しかし、データセットはすでに複数の脅威インテリジェンス企業の手に渡っており、侵害の自然なサイクルとして、より広範な流通が予想されます。

組織向けの主要なポイント

以下のような組織は、たとえ明らかな侵害が検出されていなくても、その環境でアクセス可能なすべてのシークレットを侵害されたものとして扱い、直ちにローテーションする必要があります。

• LiteLLMバージョン1.82.7または1.82.8を実行していた
• CI/CDパイプラインがこれらのバージョンを使用していた
• 2026年3月19日から24日までの間に侵害されたTrivyスキャナーを使用していた

FBIのFLASH勧告もこれを補強しています。窃取された認証情報を「持続的リスク」として扱うよう警告しています。

TeamPCPが示したのは、1つの失効していないトークンが、3つのツールを経由して、単一の認証情報漏洩をエコシステム全体の暴露に変え得るということです。LiteLLM攻撃は、最新のソフトウェアサプライチェーンにおいて、脆弱性を発見するために信頼するツール自体が脆弱性になり得るという厳しい教訓を突きつけています。