Atak na łańcuch dostaw LiteLLM: skala, harmonogram i skutki

Oto pełny zakres i harmonogram ataku na łańcuch dostaw LiteLLM w marcu 2026 roku, opracowany na podstawie oficjalnych ujawnień, raportów wywiadu zagrożeń i niezależnych analiz.

Harmonogram ataku

• 19 marca 2026 – TeamPCP przejął Aqua Security Trivy, szeroko używany skaner podatności open source, wstrzykując złośliwy kod do jednej z jego zależności .
• 24 marca 2026, ~10:39 UTC – LiteLLM w wersji 1.82.7 został opublikowany na PyPI z pipeline'u CI/CD, który ślepo zaufał zatrutemu skanerowi Trivy podczas skanowania bezpieczeństwa .
• 24 marca 2026, ~10:39–11:19 UTC – Opublikowano również wersję 1.82.8. Złośliwe pakiety zawierały kod kradnący dane uwierzytelniające chmury, klucze SSH, konfiguracje Kubernetes, dane do baz danych, klucze API i inne sekrety, przesyłając je na zdalny serwer TeamPCP .
• 24 marca 2026, ~11:19 UTC – PyPI zablokowało projekt LiteLLM (~40 minut po pierwszej publikacji), ale zespół LiteLLM zalecił traktowanie wszelkich instalacji do 16:00 UTC tego dnia jako podejrzanych . Pakiety pobrano ponad 119 000 razy podczas okna około 2,5 godziny .

Jak działał atak

TeamPCP wykorzystał kaskadową kompromitację łańcucha dostaw: najpierw zatruli Trivy (skaner bezpieczeństwa open source), a następnie pipeline CI/CD LiteLLM – który używał skompromitowanej zależności Trivy we własnym skanowaniu bezpieczeństwa kompilacji – został zainfekowany, dając atakującym dane uwierzytelniające do publikacji na PyPI . To pozwoliło TeamPCP wypchnąć złośliwe wydania bezpośrednio do PyPI, omijając normalny proces wydawniczy LiteLLM oparty na GitHub . Jedna z analiz zauważyła, że atak „pochodził z zależności Trivy użytej w przepływie pracy skanowania bezpieczeństwa CI/CD [LiteLLM]” .

Skala wycieku danych

• Hudson Rock niezależnie uzyskał i przeanalizował oryginalne archiwum atakujących: 153 GB zawierające 433 909 plików i 118 829 zrzutów CI/CD, przypisanych do 2 488 domen firmowych .
• CloudSEK zrekonstruował około 434 000 przechwyconych plików pipeline'ów CI/CD i zidentyfikował ponad 2500 potencjalnie narażonych organizacji .
• FBI wydało w lipcu 2026 roku ostrzeżenie (FLASH-20260702-01) przed powiązanymi działaniami następczymi .

Dotknięte organizacje

Ujawnione domeny obejmowały główne przedsiębiorstwa z sektorów technologicznego, finansowego, przemysłowego i telekomunikacyjnego. Potwierdzone nazwy organizacji z wielu źródeł to Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens i BT Group . Hudson Rock odnotował, że archiwum zawierało dane uwierzytelniające „wciąż ważne” dla wielu z tych organizacji miesiące po incydencie .

Testy Kevina Beaumonta po incydencie

Po raporcie Ars Technica na temat naruszenia, Kevin Beaumont niezależnie przetestował skompromitowane dane uwierzytelniające z dużej amerykańskiej firmy technologicznej, która twierdziła, że „obróciła wszystko”. Korzystając z polityki odpowiedzialnego ujawniania, przetestował dane i stwierdził, że „prawie każde z nich działało” – co oznacza, że organizacja w rzeczywistoście nie obróciła swoich skompromitowanych sekretów, mimo że twierdziła inaczej .

Pilne zalecenie

Traktuj wszystkie sekrety, klucze API, dane uwierzytelniające do chmur, klucze SSH, konfiguracje Kubernetes i inne poufne dane, które były dostępne dla LiteLLM w wersjach 1.82.7 lub 1.82.8, jako w pełni skompromitowane. Natychmiastowa rotacja każdego poświadczenia, które mogło zostać ujawnione podczas okna 24 marca 2026, jest niezbędna – niezależnie od tego, czy organizacja uważa, że już je obróciła . Atak jest uważany za największe naruszenie łańcucha dostaw infrastruktury AI w 2026 roku, a skradzione dane pozostają ciągłym zagrożeniem dla włamań następczych, co pokazały testy Beaumonta .