40-minuttersangrepet som eksponerte over 2500 selskaper

TeamPCP brukte de stjålne PyPI-publiseringslegitimasjonene til å laste opp disse versjonene direkte til PyPI, og omgikk LiteLLMs vanlige GitHub-baserte publiseringsprosess . Gruppen komprimerte også ytterligere ondsinnet aktivitet i det samme vinduet, inkludert å skjendere 15 organisasjonsdepoter, tømme 182 personlige depoter og gjøre 70 private BerriAI-depoter (LiteLLMs morselskap) offentlige .

Hvordan angrepet fungerte: En kaskade av kompromitterte ledd

Angrepet er et klassisk eksempel på en kaskade av kompromitterte ledd i en leverandørkjede. TeamPCP angrep ikke LiteLLM direkte. I stedet utnyttet de en lenke av tillit:

1. Første kompromittering: Trivy – 19. mars fikk TeamPCP tilgang til Trivy GitHub Actions-pipelinen ved hjelp av en legitimasjon som var rotert, men ikke fullstendig tilbakekalt . De publiserte ondsinnede Trivy-utgivelser som injiserte en nyttelast for å stjele legitimasjon i enhver CI/CD-runner som installerte den kompromitterte skanneren.
2. Andre kompromittering: LiteLLM – LiteLLMs egen CI/CD-pipeline installerte automatisk Trivy-sårbarhetsskanneren som et sikkerhetstiltak. Da pipelinen kjørte 24. mars, hentet den den forgiftede Trivy-versjonen. Den ondsinnede nyttelasten i Trivy skannet CI-maskinens miljø og hentet ut LiteLLMs PyPI-publiseringstokens og GitHub-legitimasjon .
3. Tredje kompromittering: PyPI-brukere – Bevæpnet med LiteLLMs PyPI-legitimasjon, lastet TeamPCP opp ondsinnede LiteLLM-versjoner til PyPI. Enhver utvikler eller organisasjon som kjørte

   pip install litellm==1.82.7

   eller 1.82.8 – eller hvis CI/CD-pipeline automatisk hentet den nyeste versjonen – fikk byggemiljøet sitt skannet for hemmeligheter.

Som CloudSEK bemerket, "stammet angrepet fra Trivy-avhengigheten som ble brukt i [LiteLLMs] CI/CD-sikkerhetsskanningsarbeidsflyt" . Det er ingen CVE for selve LiteLLM-kompromitteringen fordi ingenting i LiteLLMs egen kode var sårbart; sårbarheten lå i tillitsforholdet mellom LiteLLMs byggepipeline og sikkerhetsskanningsverktøyet .

Omfanget av datatyveriet

Det fulle omfanget av datatyveriet ble først klart fem måneder senere da flere trusseletterretningsfirmaer publiserte sine analyser:

• Hudson Rock skaffet seg uavhengig og analyserte angripernes råekfiltreringsarkiv: en 153 GB RAR-fil som inneholdt nøyaktig 433 909 filer og 118 829 CI-runner-dumper, tilskrevet 2 488 bedriftsdomener .
• CloudSEK rekonstruerte omtrent 434 000 innsamlede CI/CD-pipelinefiler og identifiserte over 2 500 potensielt eksponerte organisasjoner . CloudSEK beskrev hendelsen som det største leverandørkjedeangrepet rettet mot AI-infrastruktur som er identifisert så langt i 2026 .
• De kompromitterte dataene inkluderte skylagringslegitimasjon (AWS, GCP, Azure), API-nøkler for AI-leverandører (OpenAI, Anthropic, Cohere, osv.), SSH-private nøkler, Kubernetes service account-tokens, Docker-registerinnlogginger, .env-filer, databasekoblingsstrenger, Slack-signeringshemmeligheter, Salesforce-klienthemmeligheter og Git-legitimasjon .

FBI utstedte en flasheadvarsel 2. juli 2026 (FLASH-20260702-01) som advarte om at tilknyttede aktører sannsynligvis vil bruke legitimasjon som ble eksfiltrert under TeamPCP-kampanjen lenge etter det første kompromisset. Varselet ba organisasjoner om å rotere CI/CD-hemmeligheter, publiseringstokens og sky-legitimasjon som var tilgjengelig i de relevante eksponeringsvinduene .

Berørte organisasjoner

De eksponerte domenene inkluderte store bedrifter innen teknologi, finans, industri og telekom. Bekreftede navngitte organisasjoner fra flere kilder inkluderer :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (tidligere Twitter), Zscaler, Roku, Epic Games
• Industri: Volkswagen, Siemens, FedEx
• Finans: S&P Global, Deloitte
• Telekom: BT Group, Vodafone

CloudSEKs datasett inneholdt "høye tillitskoblinger" knyttet til bedriftsdomener, depoter, legitimasjon eller infrastruktur som tilhører disse organisasjonene . Hudson Rock bemerket at arkivet inneholdt legitimasjon som "fortsatt var gyldig" for mange av disse organisasjonene flere måneder etter hendelsen .

Kevin Beaumonts testing etter hendelsen

Fem måneder etter angrepet utførte den uavhengige sikkerhetsforskeren Kevin Beaumont en viktig realitetssjekk. Etter Ars Technicas rapport om angrepet testet Beaumont kompromittert legitimasjon fra et stort amerikansk teknologiselskap som offentlig hevdet å ha "rotert alt." Ved å bruke en ansvarlig avsløringspolicy testet han legitimasjonen og fant ut at "nesten alle fungerte" – noe som betyr at organisasjonen faktisk ikke hadde rotert sine kompromitterte hemmeligheter til tross for påstander om det motsatte .

Dette funnet understreker en kritisk lærdom: uttalelser om legitimasjonsrotering og faktisk legitimasjonsrotering er ofte to forskjellige ting, og den stjålne legitimasjonen fra dette angrepet er fortsatt en aktiv trussel.

Hastende anbefaling

Behandle alle hemmeligheter, API-nøkler, skylegitimasjon, SSH-nøkler, Kubernetes-konfigurasjoner og andre sensitive data som var tilgjengelige for LiteLLM-versjonene 1.82.7 eller 1.82.8 som fullstendig kompromitterte. Umiddelbar rotering av hver eneste legitimasjon som kan ha blitt eksponert i løpet av vinduet 24. mars 2026, er avgjørende – uavhengig av om en organisasjon tror den allerede har rotert dem .

Angrepet anses som det største leverandørkjedeangrepet på AI-infrastruktur i 2026, og de stjålne dataene er fortsatt en vedvarende trussel for oppfølgende inntrengninger, som demonstrert av Beaumonts testing av legitimasjon . FBI har advart om at oppfølgende målretting er sannsynlig, og skattekisten av gyldig legitimasjon i 153 GB-arkivet er en gave som fortsetter å gi for trusselaktører.

Hvis organisasjonen din brukte LiteLLM i noen kapasitet 24. mars 2026, anta at den er kompromittert. Se etter den ondsinnede .pth-filen (litellm_init.pth) og bakdørs-persistensmekanismen (~/.config/sysmon/sysmon.py), bekreft den installerte versjonen med

pip show litellm