40-minutowy atak, który ujawnił dane ponad 2500 firm: Pełna oś czasu naruszenia łańcucha dostaw LiteLLM z marca 2026 r.

TeamPCP użył skradzionych poświadczeń publikacji PyPI, aby wypchnąć te wydania bezpośrednio do PyPI, omijając normalny proces wydawniczy LiteLLM oparty na GitHub . Grupa skompresowała również dodatkową złośliwą aktywność w tym samym oknie, w tym zdewastowała 15 repozytoriów organizacji, wyczyściła 182 prywatne repozytoria i upubliczniła 70 prywatnych repozytoriów BerriAI (organizacji macierzystej LiteLLM) .

Jak działał atak: Kaskadowe naruszenie łańcucha dostaw

Atak jest podręcznikowym przykładem kaskadowego naruszenia łańcucha dostaw. TeamPCP nie zaatakował bezpośrednio LiteLLM. Zamiast tego wykorzystał łańcuch zaufania:

1. Pierwsze naruszenie: Trivy – 19 marca TeamPCP uzyskał dostęp do potoku GitHub Actions Trivy przy użyciu poświadczenia, które zostało zmienione, ale nie całkowicie unieważnione . Opublikowali złośliwe wydania Trivy, które wstrzykiwały ładunek kradnący dane uwierzytelniające do każdego runnera CI/CD, który zainstalował skompromitowany skaner.
2. Drugie naruszenie: LiteLLM – Własny potok CI/CD LiteLLM automatycznie instalował skaner podatności Trivy jako krok bezpieczeństwa. Gdy potok uruchomił się 24 marca, pobrał zatrutą wersję Trivy. Złośliwy ładunek wewnątrz Trivy przeszukał środowisko runnera CI, wyodrębniając tokeny publikacji PyPI i dane uwierzytelniające GitHub LiteLLM .
3. Trzecie naruszenie: użytkownicy PyPI – Uzbrojony w poświadczenia PyPI LiteLLM, TeamPCP wypchnął złośliwe wydania LiteLLM do PyPI. Każdy programista lub organizacja, która uruchomiła

   pip install litellm==1.82.7

   lub 1.82.8 — lub której potok CI/CD automatycznie pobrał najnowszą wersję — miała swoje środowisko budowania przeszukane w poszukiwaniu tajemnic.

Jak zauważył CloudSEK, „atak pochodził od zależności Trivy używanej w [LiteLLM] przepływie pracy skanowania bezpieczeństwa CI/CD” . Nie ma CVE dla samego naruszenia LiteLLM, ponieważ nic w kodzie LiteLLM nie było podatne; podatność leżała w relacji zaufania między potokiem budowania LiteLLM a jego narzędziem do skanowania bezpieczeństwa .

Skala kradzieży danych

Pełna skala kradzieży danych stała się jasna dopiero pięć miesięcy później, gdy kilka firm zajmujących się analizą zagrożeń opublikowało swoje analizy:

• Hudson Rock niezależnie uzyskał i przeanalizował surowe archiwum atakujących: plik RAR o wielkości 153 GB zawierający dokładnie 433 909 plików i 118 829 zrzutów runnerów CI, przypisanych do 2488 domen korporacyjnych .
• CloudSEK zrekonstruował około 434 000 przechwyconych plików potoku CI/CD i zidentyfikował ponad 2500 potencjalnie narażonych organizacji . CloudSEK opisał incydent jako największy atak na łańcuch dostaw wymierzony w infrastrukturę AI zidentyfikowany w 2026 r. .
• Skompromitowane dane obejmowały poświadczenia platform chmurowych (AWS, GCP, Azure), klucze API dostawców AI (OpenAI, Anthropic, Cohere itp.), prywatne klucze SSH, tokeny kont serwisowych Kubernetes, dane logowania do rejestru Docker, pliki .env, ciągi połączeń do baz danych, tajemnice logowania Slack, tajemnice klienta Salesforce i poświadczenia Git .

FBI wydało błyskawiczne ostrzeżenie 2 lipca 2026 r. (FLASH-20260702-01) ostrzegające, że powiązani aktorzy prawdopodobnie będą używać danych uwierzytelniających eksfiltrowanych podczas kampanii TeamPCP na długo po początkowym naruszeniu. Poradził organizacjom, aby zmieniły tajemnice CI/CD, tokeny publikacji i poświadczenia chmurowe dostępne podczas odpowiednich okien narażenia .

Dotknięte organizacje

Narażone domeny obejmowały główne przedsiębiorstwa z sektorów technologicznego, finansowego, przemysłowego i telekomunikacyjnego. Potwierdzone nazwane organizacje z wielu źródeł obejmują :

• Technologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (dawniej Twitter), Zscaler, Roku, Epic Games
• Przemysł: Volkswagen, Siemens, FedEx
• Finanse: S&P Global, Deloitte
• Telekomunikacja: BT Group, Vodafone

Zbiór danych CloudSEK zawierał „dopasowania o wysokim poziomie ufności” powiązane z domenami korporacyjnymi, repozytoriami, poświadczeniami lub infrastrukturą należącą do tych organizacji . Hudson Rock zauważył, że archiwum zawierało poświadczenia „nadal ważne” dla wielu z tych organizacji miesiące po incydencie .

Testy poincydencyjne Kevina Beaumonta

Pięć miesięcy po naruszeniu, niezależny badacz bezpieczeństwa Kevin Beaumont przeprowadził kluczowy test rzeczywistości. Po raporcie Ars Technica o naruszeniu, Beaumont przetestował skompromitowane poświadczenia od dużej amerykańskiej firmy technologicznej, która publicznie twierdziła, że „zmieniła wszystko”. Stosując politykę odpowiedzialnego ujawniania, przetestował poświadczenia i odkrył, że „prawie każde z nich działało” — co oznacza, że organizacja w rzeczywistości nie zmieniła swoich skompromitowanych tajemnic, mimo że twierdziła inaczej .

To odkrycie podkreśla kluczową lekcję: deklaracje o rotacji poświadczeń a faktyczna rotacja poświadczeń to często dwie różne rzeczy, a skradzione poświadczenia z tego ataku pozostają realnym zagrożeniem.

Pilne zalecenie

Traktuj wszystkie tajemnice, klucze API, poświadczenia chmurowe, klucze SSH, konfiguracje Kubernetes i wszelkie inne poufne dane, które były dostępne dla wersji LiteLLM 1.82.7 lub 1.82.8, jako w pełni skompromitowane. Natychmiastowa zmiana każdego poświadczenia, które mogło zostać narażone podczas okna 24 marca 2026 r., jest niezbędna — niezależnie od tego, czy organizacja uważa, że już je zmieniła .

Atak jest uważany za największe naruszenie łańcucha dostaw infrastruktury AI w 2026 r., a skradzione dane pozostają trwałym zagrożeniem dla kolejnych włamań, co pokazał test Beaumonta . FBI ostrzegło, że kolejne ataki są prawdopodobne, a skarbnica ważnych poświadczeń w archiwum 153 GB jest darem, który wciąż przynosi korzyści dla aktorów zagrożeń.

Jeśli Twoja organizacja korzystała z LiteLLM w jakikolwiek sposób 24 marca 2026 r., zakładaj naruszenie. Sprawdź obecność złośliwego pliku .pth (litellm_init.pth) i backdoora trwałości (~/.config/sysmon/sysmon.py), zweryfikuj zainstalowaną wersję za pomocą

pip show litellm