De 40 Minuten Durende Aanval Die 2500+ Bedrijven Blootlegde: Volledige Tijdlijn van de LiteLLM Supply Chain Hack van Maart 2026

TeamPCP gebruikte de gestolen PyPI-publicatie-credentials om deze releases rechtstreeks naar PyPI te pushen, waarbij het normale GitHub-releaseproces van LiteLLM werd omzeild . De groep voegde in datzelfde venster nog meer kwaadaardige activiteiten samen, waaronder het vervormen van 15 organisatierepository's, het wissen van 182 persoonlijke repo's en het openbaar maken van 70 privé-repository's van BerriAI (de moederorganisatie van LiteLLM) .

Hoe de Aanval Werkt: Een Cascade van Supply Chain-Compromitteringen

De aanval is een schoolvoorbeeld van een supply chain-aanval in cascade. TeamPCP viel LiteLLM niet rechtstreeks aan. In plaats daarvan maakten ze misbruik van een keten van vertrouwen:

1. Eerste compromittering: Trivy – Op 19 maart kreeg TeamPCP toegang tot de GitHub Actions-pijplijn van Trivy via een credential die wel was geroteerd maar niet volledig was ingetrokken . Ze publiceerden kwaadaardige Trivy-releases die een credential-stelende lading injecteerden in elke CI/CD-runner die de gecompromitteerde scanner installeerde.
2. Tweede compromittering: LiteLLM – De eigen CI/CD-pijplijn van LiteLLM installeerde automatisch de Trivy-kwetsbaarheidsscanner als beveiligingsstap. Toen de pijplijn op 24 maart draaide, haalde deze de vergiftigde Trivy-versie op. De kwaadaardige lading in Trivy doorzocht de omgeving van de CI-runner en haalde de PyPI-publicatie-tokens en GitHub-credentials van LiteLLM op .
3. Derde compromittering: PyPI-gebruikers – Gewapend met de PyPI-credentials van LiteLLM pushte TeamPCP kwaadaardige LiteLLM-releases naar PyPI. Elke ontwikkelaar of organisatie die

   pip install litellm==1.82.7

   of 1.82.8 uitvoerde – of wiens CI/CD-pijplijn automatisch de nieuwste versie ophaalde – kreeg te maken met het uitlezen van geheimen uit hun build-omgeving.

Zoals CloudSEK opmerkte: "de aanval is ontstaan uit de Trivy-afhankelijkheid die in de CI/CD-beveiligingsscan-workflow van LiteLLM werd gebruikt" . Er is geen CVE voor de LiteLLM-compromittering zelf, omdat er niets in de eigen code van LiteLLM kwetsbaar was; de kwetsbaarheid zat in de vertrouwensrelatie tussen de build-pijplijn van LiteLLM en de beveiligingstool .

Omvang van de Diefstal

De volledige omvang van de diefstal werd pas vijf maanden later duidelijk, toen meerdere dreigingsinlichtingenbureaus hun analyses publiceerden:

• Hudson Rock verkreeg en analyseerde onafhankelijk het ruwe archief van de aanvallers: een 153 GB RAR-bestand met exact 433.909 bestanden en 118.829 CI-runner-dumps, toegeschreven aan 2.488 bedrijfsdomeinen .
• CloudSEK reconstrueerde ongeveer 434.000 buitgemaakte CI/CD-pijplijnbestanden en identificeerde meer dan 2.500 mogelijk blootgestelde organisaties . CloudSEK beschreef het incident als de grootste supply chain-aanval op AI-infrastructuur die in 2026 is geïdentificeerd .
• De buitgemaakte gegevens omvatten cloudplatform-credentials (AWS, GCP, Azure), API-sleutels van AI-providers (OpenAI, Anthropic, Cohere, etc.), SSH-privésleutels, Kubernetes-serviceaccount-tokens, Docker-registry-logins, .env-bestanden, database-verbindingsstrings, Slack-ondertekeningsgeheimen, Salesforce-clientgeheimen en Git-credentials .

De FBI gaf op 2 juli 2026 een flash-advisory uit (FLASH-20260702-01) met de waarschuwing dat gelieerde actoren de tijdens de TeamPCP-campagne buitgemaakte credentials nog lang na de eerste compromittering zullen inzetten. Het advies was om CI/CD-geheimen, publicatie-tokens en cloud-credentials die tijdens de relevante blootstellingsvensters toegankelijk waren, te roteren .

Getroffen Organisaties

De blootgestelde domeinen omvatten grote ondernemingen in de technologiesector, financiële sector, industrie en telecomsector. Bevestigde organisaties uit meerdere bronnen zijn :

• Technologie: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (voorheen Twitter), Zscaler, Roku, Epic Games
• Industrie: Volkswagen, Siemens, FedEx
• Financieel: S&P Global, Deloitte
• Telecom: BT Group, Vodafone

De dataset van CloudSEK bevatte "matches met hoge betrouwbaarheid" die waren gekoppeld aan bedrijfsdomeinen, repository's, credentials of infrastructuur van deze organisaties . Hudson Rock merkte op dat het archief credentials bevatte die maanden na het incident voor veel van deze organisaties "nog steeds geldig" waren .

Kevin Beaumonts Nazorgtest

Vijf maanden na de inbraak voerde de onafhankelijke beveiligingsonderzoeker Kevin Beaumont een cruciale realiteitscheck uit. Na het Ars Technica-rapport over de inbraak testte Beaumont gecompromitteerde credentials van een groot Amerikaans technologiebedrijf dat publiekelijk had beweerd "alles te hebben geroteerd". Met een verantwoord openbaarmakingsbeleid testte hij de credentials en ontdekte dat "bijna elke werkte" – wat betekent dat de organisatie zijn gecompromitteerde geheimen niet daadwerkelijk had geroteerd, ondanks eerdere beweringen .

Deze bevinding onderstreept een cruciale les: uitspraken over credential-rotatie en daadwerkelijke credential-rotatie zijn vaak twee verschillende dingen, en de gestolen credentials van deze aanval blijven een actieve bedreiging.

Dringend Advies

Beschouw alle geheimen, API-sleutels, cloud-credentials, SSH-sleutels, Kubernetes-configuraties en andere gevoelige gegevens die toegankelijk waren voor LiteLLM versies 1.82.7 of 1.82.8 als volledig gecompromitteerd. Onmiddellijke rotatie van elke credential die tijdens het venster van 24 maart 2026 had kunnen worden blootgesteld, is essentieel – ongeacht of een organisatie denkt deze al te hebben geroteerd .

De aanval wordt beschouwd als de grootste supply chain-inbraak in AI-infrastructuur van 2026, en de gestolen gegevens blijven een constante bedreiging voor vervolgaanvallen, zoals Beaumonts credential-test aantoonde . De FBI heeft gewaarschuwd dat vervolgacties waarschijnlijk zijn, en de schatkamer aan geldige credentials in het 153GB-archief is een geschenk dat blijft geven voor kwaadwillende actoren.

Als uw organisatie op 24 maart 2026 op enige manier LiteLLM heeft gebruikt, ga dan uit van een compromittering. Controleer op het kwaadaardige .pth-bestand (litellm_init.pth) en de persistentie-backdoor (~/.config/sysmon/sysmon.py), verifieer de geïnstalleerde versie met

pip show litellm