TeamPCP menggunakan kredential penerbitan PyPI yang dicuri untuk menolak keluaran ini terus ke PyPI, memintas proses pelepasan biasa LiteLLM berasaskan GitHub . Kumpulan itu juga memampatkan aktiviti berniat jahat tambahan ke dalam tetingkap yang sama, termasuk mencacatkan 15 repositori organisasi, menghapuskan 182 repositori peribadi, dan menjadikan 70 repositori BerriAI (organisasi induk LiteLLM) peribadi kepada awam .

Bagaimana Serangan Berfungsi: Kompromi Rantaian Bekalan Bertingkat

Serangan ini adalah contoh buku teks kompromi rantaian bekalan bertingkat. TeamPCP tidak menyerang LiteLLM secara langsung. Sebaliknya, mereka mengeksploitasi rantaian kepercayaan:

1. Kompromi pertama: Trivy – Pada 19 Mac, TeamPCP mendapat akses kepada saluran paip GitHub Actions Trivy menggunakan kredential yang telah diputar tetapi tidak dibatalkan sepenuhnya . Mereka menerbitkan keluaran Trivy berniat jahat yang menyuntik muatan pencuri kredential ke dalam mana-mana pelari CI/CD yang memasang pengimbas yang terjejas.
2. Kompromi kedua: LiteLLM – Saluran paip CI/CD LiteLLM sendiri secara automatik memasang pengimbas kelemahan Trivy sebagai langkah keselamatan. Apabila saluran paip berjalan pada 24 Mac, ia menarik versi Trivy yang diracun. Muatan berniat jahat di dalam Trivy mengikis persekitaran pelari CI, mengekstrak token penerbitan PyPI dan kredential GitHub LiteLLM .
3. Kompromi ketiga: Pengguna PyPI – Dengan kredential PyPI LiteLLM, TeamPCP menolak keluaran LiteLLM berniat jahat ke PyPI. Mana-mana pembangun atau organisasi yang menjalankan pip install litellm==1.82.7 atau 1.82.8 — atau yang saluran paip CI/CDnya secara automatik menarik versi terkini — akan mempunyai persekitaran binaan mereka dikikis rahsianya.

Seperti yang dinyatakan oleh CloudSEK, "serangan itu berasal daripada kebergantungan Trivy yang digunakan dalam [LiteLLM] aliran kerja pengimbasan keselamatan CI/CD" . Tiada CVE untuk kompromi LiteLLM itu sendiri kerana tiada apa-apa dalam kod LiteLLM sendiri yang terdedah; kelemahan itu adalah dalam hubungan kepercayaan antara saluran paip binaan LiteLLM dan alat pengimbasan keselamatannya .

Skala Pengeluaran Data

Skala penuh kecurian data hanya menjadi jelas lima bulan kemudian apabila beberapa firma risikan ancaman menerbitkan analisis mereka:

• Hudson Rock secara bebas memperoleh dan menganalisis arkib pengeluaran mentah penyerang: fail RAR 153 GB yang mengandungi tepat 433,909 fail dan 118,829 dum pelari CI, dikaitkan dengan 2,488 domain korporat .
• CloudSEK membina semula kira-kira 434,000 fail saluran paip CI/CD yang ditangkap dan mengenal pasti lebih 2,500 organisasi yang berpotensi terdedah . CloudSEK menggambarkan insiden itu sebagai serangan rantaian bekalan terbesar yang menyasarkan infrastruktur AI yang dikenal pasti setakat ini pada tahun 2026 .
• Data yang terjejas termasuk kredential platform awan (AWS, GCP, Azure), kunci API pembekal AI (OpenAI, Anthropic, Cohere, dll.), kunci peribadi SSH, token akaun perkhidmatan Kubernetes, log masuk pendaftaran Docker, fail .env, rentetan sambungan pangkalan data, rahsia penandatanganan Slack, rahsia klien Salesforce, dan kredential Git .

FBI mengeluarkan nasihat kilat pada 2 Julai 2026 (FLASH-20260702-01) memberi amaran bahawa pelakon yang bersekutu berkemungkinan akan mempersenjatai kredential yang dieksfiltrasi semasa kempen TeamPCP lama selepas kompromi awal. Ia memberitahu organisasi untuk memutarkan rahsia CI/CD, token penerbitan, dan kredential awan yang boleh diakses semasa tetingkap pendedahan yang berkaitan .

Organisasi Terjejas

Domain yang terdedah termasuk perusahaan utama merentasi sektor teknologi, kewangan, perindustrian, dan telekomunikasi. Organisasi bernama yang disahkan daripada pelbagai sumber termasuk :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (kini Twitter), Zscaler, Roku, Epic Games
• Perindustrian: Volkswagen, Siemens, FedEx
• Kewangan: S&P Global, Deloitte
• Telekomunikasi: BT Group, Vodafone

Set data CloudSEK mengandungi "padanan keyakinan tinggi" yang dikaitkan dengan domain korporat, repositori, kredential, atau infrastruktur kepunyaan organisasi ini . Hudson Rock menyatakan arkib itu mengandungi kredential "masih sah" untuk banyak organisasi ini berbulan-bulan selepas insiden itu .

Ujian Pasca Insiden Kevin Beaumont

Lima bulan selepas pelanggaran itu, penyelidik keselamatan bebas Kevin Beaumont menjalankan pemeriksaan realiti yang penting. Selepas laporan Ars Technica mengenai pelanggaran itu, Beaumont menguji kredential yang terjejas daripada sebuah syarikat teknologi utama AS yang secara terbuka mendakwa telah "memutarkan segala-galanya." Menggunakan dasar pendedahan yang bertanggungjawab, dia menguji kredential itu dan mendapati bahawa "hampir setiap satu berfungsi" — bermakna organisasi itu sebenarnya tidak memutarkan rahsia terjejasnya walaupun mendakwa sebaliknya .

Penemuan ini menekankan pengajaran kritikal: kenyataan tentang penggiliran kredential dan penggiliran kredential sebenar selalunya adalah dua perkara yang berbeza, dan kredential yang dicuri daripada serangan ini kekal sebagai ancaman hidup.

Syor Segera

Anggap semua rahsia, kunci API, kredential awan, kunci SSH, konfigurasi Kubernetes, dan sebarang data sensitif lain yang boleh diakses oleh LiteLLm versi 1.82.7 atau 1.82.8 sebagai terjejas sepenuhnya. Penggiliran segera setiap kredential yang mungkin terdedah semasa tetingkap 24 Mac 2026 adalah penting — tanpa mengira sama ada organisasi percaya ia telah memutarkannya sudah .

Serangan itu dianggap sebagai pelanggaran rantaian bekalan infrastruktur AI terbesar pada tahun 2026, dan data yang dicuri kekal sebagai ancaman berterusan untuk pencerobohan susulan, seperti yang ditunjukkan oleh ujian kredential Beaumont . FBI telah memberi amaran bahawa sasaran susulan adalah berkemungkinan, dan khazanah kredential sah dalam arkib 153GB adalah hadiah yang terus memberi untuk pelakon ancaman.

Jika organisasi anda menggunakan LiteLLM dalam mana-mana kapasiti pada 24 Mac 2026, anggap kompromi. Periksa fail .pth berniat jahat (litellm_init.pth) dan pintu belakang kegigihan (~/.config/sysmon/sysmon.py), sahkan versi yang dipasang dengan pip show litellm, dan putarkan setiap kredential yang boleh diakses daripada hos yang terjejas — kunci awan, kunci API pembekal AI, token Kubernetes, kunci SSH, dan token CI/CD .

TeamPCP menggunakan kredential penerbitan PyPI yang dicuri untuk menolak keluaran ini terus ke PyPI, memintas proses pelepasan biasa LiteLLM berasaskan GitHub . Kumpulan itu juga memampatkan aktiviti berniat jahat tambahan ke dalam tetingkap yang sama, termasuk mencacatkan 15 repositori organisasi, menghapuskan 182 repositori peribadi, dan menjadikan 70 repositori BerriAI (organisasi induk LiteLLM) peribadi kepada awam .

Bagaimana Serangan Berfungsi: Kompromi Rantaian Bekalan Bertingkat

Serangan ini adalah contoh buku teks kompromi rantaian bekalan bertingkat. TeamPCP tidak menyerang LiteLLM secara langsung. Sebaliknya, mereka mengeksploitasi rantaian kepercayaan:

1. Kompromi pertama: Trivy – Pada 19 Mac, TeamPCP mendapat akses kepada saluran paip GitHub Actions Trivy menggunakan kredential yang telah diputar tetapi tidak dibatalkan sepenuhnya . Mereka menerbitkan keluaran Trivy berniat jahat yang menyuntik muatan pencuri kredential ke dalam mana-mana pelari CI/CD yang memasang pengimbas yang terjejas.
2. Kompromi kedua: LiteLLM – Saluran paip CI/CD LiteLLM sendiri secara automatik memasang pengimbas kelemahan Trivy sebagai langkah keselamatan. Apabila saluran paip berjalan pada 24 Mac, ia menarik versi Trivy yang diracun. Muatan berniat jahat di dalam Trivy mengikis persekitaran pelari CI, mengekstrak token penerbitan PyPI dan kredential GitHub LiteLLM .
3. Kompromi ketiga: Pengguna PyPI – Dengan kredential PyPI LiteLLM, TeamPCP menolak keluaran LiteLLM berniat jahat ke PyPI. Mana-mana pembangun atau organisasi yang menjalankan pip install litellm==1.82.7 atau 1.82.8 — atau yang saluran paip CI/CDnya secara automatik menarik versi terkini — akan mempunyai persekitaran binaan mereka dikikis rahsianya.

Seperti yang dinyatakan oleh CloudSEK, "serangan itu berasal daripada kebergantungan Trivy yang digunakan dalam [LiteLLM] aliran kerja pengimbasan keselamatan CI/CD" . Tiada CVE untuk kompromi LiteLLM itu sendiri kerana tiada apa-apa dalam kod LiteLLM sendiri yang terdedah; kelemahan itu adalah dalam hubungan kepercayaan antara saluran paip binaan LiteLLM dan alat pengimbasan keselamatannya .

Skala Pengeluaran Data

Skala penuh kecurian data hanya menjadi jelas lima bulan kemudian apabila beberapa firma risikan ancaman menerbitkan analisis mereka:

• Hudson Rock secara bebas memperoleh dan menganalisis arkib pengeluaran mentah penyerang: fail RAR 153 GB yang mengandungi tepat 433,909 fail dan 118,829 dum pelari CI, dikaitkan dengan 2,488 domain korporat .
• CloudSEK membina semula kira-kira 434,000 fail saluran paip CI/CD yang ditangkap dan mengenal pasti lebih 2,500 organisasi yang berpotensi terdedah . CloudSEK menggambarkan insiden itu sebagai serangan rantaian bekalan terbesar yang menyasarkan infrastruktur AI yang dikenal pasti setakat ini pada tahun 2026 .
• Data yang terjejas termasuk kredential platform awan (AWS, GCP, Azure), kunci API pembekal AI (OpenAI, Anthropic, Cohere, dll.), kunci peribadi SSH, token akaun perkhidmatan Kubernetes, log masuk pendaftaran Docker, fail .env, rentetan sambungan pangkalan data, rahsia penandatanganan Slack, rahsia klien Salesforce, dan kredential Git .

FBI mengeluarkan nasihat kilat pada 2 Julai 2026 (FLASH-20260702-01) memberi amaran bahawa pelakon yang bersekutu berkemungkinan akan mempersenjatai kredential yang dieksfiltrasi semasa kempen TeamPCP lama selepas kompromi awal. Ia memberitahu organisasi untuk memutarkan rahsia CI/CD, token penerbitan, dan kredential awan yang boleh diakses semasa tetingkap pendedahan yang berkaitan .

Organisasi Terjejas

Domain yang terdedah termasuk perusahaan utama merentasi sektor teknologi, kewangan, perindustrian, dan telekomunikasi. Organisasi bernama yang disahkan daripada pelbagai sumber termasuk :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (kini Twitter), Zscaler, Roku, Epic Games
• Perindustrian: Volkswagen, Siemens, FedEx
• Kewangan: S&P Global, Deloitte
• Telekomunikasi: BT Group, Vodafone

Set data CloudSEK mengandungi "padanan keyakinan tinggi" yang dikaitkan dengan domain korporat, repositori, kredential, atau infrastruktur kepunyaan organisasi ini . Hudson Rock menyatakan arkib itu mengandungi kredential "masih sah" untuk banyak organisasi ini berbulan-bulan selepas insiden itu .

Ujian Pasca Insiden Kevin Beaumont

Lima bulan selepas pelanggaran itu, penyelidik keselamatan bebas Kevin Beaumont menjalankan pemeriksaan realiti yang penting. Selepas laporan Ars Technica mengenai pelanggaran itu, Beaumont menguji kredential yang terjejas daripada sebuah syarikat teknologi utama AS yang secara terbuka mendakwa telah "memutarkan segala-galanya." Menggunakan dasar pendedahan yang bertanggungjawab, dia menguji kredential itu dan mendapati bahawa "hampir setiap satu berfungsi" — bermakna organisasi itu sebenarnya tidak memutarkan rahsia terjejasnya walaupun mendakwa sebaliknya .

Penemuan ini menekankan pengajaran kritikal: kenyataan tentang penggiliran kredential dan penggiliran kredential sebenar selalunya adalah dua perkara yang berbeza, dan kredential yang dicuri daripada serangan ini kekal sebagai ancaman hidup.

Syor Segera

Anggap semua rahsia, kunci API, kredential awan, kunci SSH, konfigurasi Kubernetes, dan sebarang data sensitif lain yang boleh diakses oleh LiteLLm versi 1.82.7 atau 1.82.8 sebagai terjejas sepenuhnya. Penggiliran segera setiap kredential yang mungkin terdedah semasa tetingkap 24 Mac 2026 adalah penting — tanpa mengira sama ada organisasi percaya ia telah memutarkannya sudah .

Serangan itu dianggap sebagai pelanggaran rantaian bekalan infrastruktur AI terbesar pada tahun 2026, dan data yang dicuri kekal sebagai ancaman berterusan untuk pencerobohan susulan, seperti yang ditunjukkan oleh ujian kredential Beaumont . FBI telah memberi amaran bahawa sasaran susulan adalah berkemungkinan, dan khazanah kredential sah dalam arkib 153GB adalah hadiah yang terus memberi untuk pelakon ancaman.

Jika organisasi anda menggunakan LiteLLM dalam mana-mana kapasiti pada 24 Mac 2026, anggap kompromi. Periksa fail .pth berniat jahat (litellm_init.pth) dan pintu belakang kegigihan (~/.config/sysmon/sysmon.py), sahkan versi yang dipasang dengan pip show litellm, dan putarkan setiap kredential yang boleh diakses daripada hos yang terjejas — kunci awan, kunci API pembekal AI, token Kubernetes, kunci SSH, dan token CI/CD .