Serangan Rantaian Bekalan LiteLLM Dedahkan 2,500+ Organisasi — Ramai Masih Belum Putar Rahsia Mereka

Hari 1: Trivy (19 Mac)

TeamPCP mendapat akses awal ke infrastruktur Aqua Security dengan mengeksploitasi kelemahan konfigurasi aliran kerja pull_request_target — kecacatan "PwnRequest" . Mereka memintas token akses peribadi yang baru diputar untuk akaun perkhidmatan aqua-bot dan menolak tag versi secara paksa ke komit berniat jahat. Tujuh puluh enam daripada 77 tag trivy-action dan kesemua 7 tag setup-trivy telah dirampas . Kompromi pertama ini dikesan sebagai CVE-2026-33634 (CVSS 9.8 Kritikal) .

Hari 2: KICS (23 Mac)

Menggunakan token yang dicuri daripada mangsa Trivy, TeamPCP mengesahkan sebagai akaun perkhidmatan cx-plugins-releases milik Checkmarx dan menolak keluaran KICS berniat jahat .

Hari 3: LiteLLM (24 Mac)

Saluran paip binaan LiteLLM secara automatik memasang pengimbas Trivy yang telah dikompromi, memberikan perisian hasad akses baca kepada persekitaran pelari. TeamPCP mencuri token penerbitan PyPI LiteLLM dan menerbitkan dua keluaran berniat jahat — versi 1.82.7 dan 1.82.8 — ke PyPI . Pakej berniat jahat ini tersedia hanya selama kira-kira 40 minit sebelum ditemui .

Muatan

Perisian hasad LiteLLM menggunakan muatan tiga peringkat :

• Penuai kelayakan yang menyasarkan lebih 50 kategori rahsia
• Kit pergerakan lateral Kubernetes yang meningkat kepada root dan menggunakan pod istimewa
• Pintu belakang berterusan untuk pelaksanaan kod jauh

Perisian hasad menggunakan suntikan fail .pth untuk melaksanakan secara automatik pada setiap permulaan jurubahasa Python, tanpa memerlukan import eksplisit — menjadikannya sangat sukar untuk dikesan . Pada pelari yang dikompromi, muatan — dikesan oleh Google sebagai SANDCLOCK — menyapu kunci SSH, kelayakan AWS/GCP/Azure, token akaun perkhidmatan Kubernetes, dan kata laluan pangkalan data .

Organisasi yang Terjejas

Mangsa yang dinamakan dikenal pasti oleh pelbagai firma risikan ancaman termasuk :

Teknologi: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Perusahaan: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekom/Media: Orange, BT Group, SiriusXM/AdsWizz
Lain-lain: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn
Suruhanjaya Eropah juga telah dicerobohi melalui kompromi Trivy awal, mengakibatkan kecurian kelayakan pengurusan AWS dan kira-kira ~340 GB data tidak dimampatkan, menjejaskan 42 pelanggan dalaman dan 29 entiti EU tambahan .

Skala Pendedahan Kelayakan

Jenis data yang dicuri termasuk :

• Kunci IAM awan (AWS, GCP, Azure)
• Kunci SSH dan rahsia Kubernetes
• Kata laluan pangkalan data dan rahsia pelanggan Salesforce
• Rahsia penandatanganan Slack dan pembolehubah persekitaran
• Kunci API pembekal AI (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI mengeluarkan nasihat FLASH pada 2 Julai 2026 memberi amaran bahawa organisasi yang terjejas oleh kempen ini harus menganggap data dan kelayakan yang dieksfiltrasi sebagai risiko berterusan kerana pelakon yang bergabung berkemungkinan akan mempersenjatainya .

Risiko Berterusan daripada Rahsia yang Belum Diputar

Walaupun terdapat keterukan pelanggaran, risiko masih jauh daripada terkawal kerana beberapa sebab:

Arkib Belum Bocor

Hudson Rock, yang memperoleh dan menganalisis arkib, melaporkan bahawa set data 153 GB tidak beredar secara meluas lagi — memanggilnya "peluang kritikal" untuk organisasi memutar kunci sebelum ia akhirnya bocor .

Banyak Organisasi Belum Memutar

Penyelidik keselamatan Kevin Beaumont menguji kelayakan dari satu organisasi yang mendakwa telah memutar segala-galanya. Penemuannya: "Hampir semuanya berfungsi" .

Kelayakan Tidak Dikenal Pasti

Sebahagian besar fail yang dilambak mengandungi kata laluan pangkalan data, kunci API, dan kelayakan awan tanpa sebarang e-mel syarikat, domain tersuai, atau nama pelayan dalaman untuk mengenal pasti organisasi pemilik. Organisasi tersebut tidak boleh tahu mereka terjejas .

Pendedahan lwn. Kompromi Disahkan

Angka 2,500+ mencerminkan pendedahan yang dibina semula, bukan kompromi yang disahkan untuk setiap organisasi. CloudSEK menegaskan bahawa setiap organisasi yang disenaraikan harus mengesahkan secara bebas . Tetapi set data kini berada di tangan beberapa firma risikan ancaman, dan kitaran semula jadi pelanggaran bermakna peredaran yang lebih luas dijangka berlaku.

Pengambilan Utama untuk Organisasi

Mana-mana organisasi yang:

• Menjalankan LiteLLM versi 1.82.7 atau 1.82.8
• Mempunyai saluran paip CI/CD yang menggunakan versi tersebut
• Menggunakan pengimbas Trivy yang dikompromi antara 19-24 Mac 2026

... harus menganggap semua rahsia yang boleh diakses oleh persekitaran itu sebagai terjejas dan memutarnya dengan segera, walaupun tiada pelanggaran jelas telah dikesan . Nasihat FLASH FBI mengukuhkan ini: anggap kelayakan yang dieksfiltrasi sebagai risiko berterusan kerana pelakon yang bergabung berkemungkinan akan mempersenjatainya .

TeamPCP menunjukkan bahawa satu token yang tidak dibatalkan, tiga alat dalam boleh mengubah satu kebocoran kelayakan kepada pendedahan seluruh ekosistem. Serangan LiteLLM adalah peringatan yang jelas bahawa dalam rantaian bekalan perisian moden, alat yang anda percayai untuk mencari kelemahan boleh menjadi kelemahan itu sendiri.