O TeamPCP usou as credenciais de publicação do PyPI roubadas para enviar esses lançamentos diretamente ao PyPI, contornando o processo de liberação normal baseado no GitHub do LiteLLM . O grupo também comprimiu atividades maliciosas adicionais na mesma janela, incluindo a desfiguração de 15 repositórios de organizações, a eliminação de 182 repositórios pessoais e a tornada pública de 70 repositórios privados da BerriAI (organização controladora do LiteLLM) .

Como o Ataque Funcionou: Um Comprometimento em Cascata na Cadeia de Suprimentos

O ataque é um exemplo clássico de comprometimento em cascata na cadeia de suprimentos. O TeamPCP não atacou o LiteLLM diretamente. Em vez disso, explorou uma cadeia de confiança:

1. Primeiro comprometimento: Trivy – Em 19 de março, o TeamPCP obteve acesso ao pipeline de GitHub Actions do Trivy usando uma credencial que havia sido rotacionada, mas não totalmente revogada . Eles publicaram lançamentos maliciosos do Trivy que injetavam um payload de roubo de credenciais em qualquer runner de CI/CD que instalasse o scanner comprometido.
2. Segundo comprometimento: LiteLLM – O próprio pipeline de CI/CD do LiteLLM instalava automaticamente o scanner de vulnerabilidades Trivy como uma etapa de segurança. Quando o pipeline foi executado em 24 de março, ele puxou a versão envenenada do Trivy. O payload malicioso dentro do Trivy vasculhou o ambiente do runner de CI, extraindo os tokens de publicação do PyPI e as credenciais do GitHub do LiteLLM .
3. Terceiro comprometimento: Usuários do PyPI – Armado com as credenciais do PyPI do LiteLLM, o TeamPCP enviou lançamentos maliciosos do LiteLLM para o PyPI. Qualquer desenvolvedor ou organização que executasse pip install litellm==1.82.7 ou 1.82.8 — ou cujo pipeline de CI/CD puxasse automaticamente a versão mais recente — teria seu ambiente de build vasculhado em busca de segredos.

Como a CloudSEK observou, "o ataque se originou da dependência do Trivy usada no fluxo de trabalho de varredura de segurança de CI/CD [do LiteLLM]" . Não há CVE para o comprometimento do LiteLLM em si porque nada no código do próprio LiteLLM era vulnerável; a vulnerabilidade estava na relação de confiança entre o pipeline de build do LiteLLM e sua ferramenta de varredura de segurança .

Escala da Exfiltração de Dados

A escala total do roubo de dados só ficou clara cinco meses depois, quando várias empresas de inteligência de ameaças publicaram suas análises:

• Hudson Rock obteve e analisou independentemente o arquivo de exfiltração bruto dos atacantes: um arquivo RAR de 153 GB contendo exatamente 433.909 arquivos e 118.829 dumps de runners de CI, atribuídos a 2.488 domínios corporativos .
• A CloudSEK reconstruiu aproximadamente 434.000 arquivos de pipeline de CI/CD capturados e identificou mais de 2.500 organizações potencialmente expostas . A CloudSEK descreveu o incidente como o maior ataque à cadeia de suprimentos visando infraestrutura de IA identificado até agora em 2026 .
• Os dados comprometidos incluíam credenciais de plataformas de nuvem (AWS, GCP, Azure), chaves de API de provedores de IA (OpenAI, Anthropic, Cohere, etc.), chaves privadas SSH, tokens de conta de serviço do Kubernetes, logins de registro Docker, arquivos .env, strings de conexão de banco de dados, segredos de assinatura do Slack, segredos de cliente do Salesforce e credenciais do Git .

O FBI emitiu um alerta relâmpago em 2 de julho de 2026 (FLASH-20260702-01) avisando que atores afiliados provavelmente usarão as credenciais exfiltradas durante a campanha do TeamPCP muito após o comprometimento inicial. Ele instruiu as organizações a rotacionarem segredos de CI/CD, tokens de publicação e credenciais de nuvem acessíveis durante as janelas de exposição relevantes .

Organizações Afetadas

Os domínios expostos incluíam grandes empresas dos setores de tecnologia, finanças, industrial e telecomunicações. As organizações nomeadas e confirmadas por múltiplas fontes incluem :

• Tecnologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (antigo Twitter), Zscaler, Roku, Epic Games
• Industrial: Volkswagen, Siemens, FedEx
• Financeiro: S&P Global, Deloitte
• Telecom: BT Group, Vodafone

O conjunto de dados da CloudSEK continha "correspondências de alta confiança" ligadas a domínios corporativos, repositórios, credenciais ou infraestrutura pertencentes a essas organizações . A Hudson Rock observou que o arquivo continha credenciais "ainda válidas" para muitas dessas organizações meses após o incidente .

Teste Pós-Incidente de Kevin Beaumont

Cinco meses após a violação, o pesquisador de segurança independente Kevin Beaumont realizou uma verificação crucial da realidade. Após a reportagem do Ars Technica sobre a violação, Beaumont testou credenciais comprometidas de uma grande empresa de tecnologia dos EUA que afirmou publicamente ter "rotacionado tudo". Usando uma política de divulgação responsável, ele testou as credenciais e descobriu que "quase todas funcionaram" — o que significa que a organização não havia realmente rotacionado seus segredos comprometidos, apesar de afirmar o contrário .

Essa descoberta ressalta uma lição crítica: declarações sobre rotação de credenciais e a rotação real de credenciais são muitas vezes duas coisas diferentes, e as credenciais roubadas neste ataque continuam sendo uma ameaça ativa.

Recomendação Urgente

Trate todos os segredos, chaves de API, credenciais de nuvem, chaves SSH, configurações do Kubernetes e quaisquer outros dados confidenciais que estavam acessíveis às versões 1.82.7 ou 1.82.8 do LiteLLM como totalmente comprometidos. A rotação imediata de cada credencial que pode ter sido exposta durante a janela de 24 de março de 2026 é essencial — independentemente de uma organização acreditar que já as rotacionou .

O ataque é considerado a maior violação de cadeia de suprimentos de infraestrutura de IA de 2026, e os dados roubados continuam sendo uma ameaça persistente para invasões de acompanhamento, como demonstrado pelo teste de credenciais de Beaumont . O FBI alertou que ataques subsequentes são prováveis, e o tesouro de credenciais válidas no arquivo de 153 GB é um presente que continua dando para os atores de ameaças.

Se sua organização usou o LiteLLM de qualquer forma em 24 de março de 2026, considere-se comprometido. Verifique a existência do arquivo .pth malicioso (litellm_init.pth) e do backdoor de persistência (~/.config/sysmon/sysmon.py), verifique a versão instalada com pip show litellm e rotacione todas as credenciais que estavam acessíveis a partir do host afetado — chaves de nuvem, chaves de API de provedores de IA, tokens do Kubernetes, chaves SSH e tokens de CI/CD .

O TeamPCP usou as credenciais de publicação do PyPI roubadas para enviar esses lançamentos diretamente ao PyPI, contornando o processo de liberação normal baseado no GitHub do LiteLLM . O grupo também comprimiu atividades maliciosas adicionais na mesma janela, incluindo a desfiguração de 15 repositórios de organizações, a eliminação de 182 repositórios pessoais e a tornada pública de 70 repositórios privados da BerriAI (organização controladora do LiteLLM) .

Como o Ataque Funcionou: Um Comprometimento em Cascata na Cadeia de Suprimentos

O ataque é um exemplo clássico de comprometimento em cascata na cadeia de suprimentos. O TeamPCP não atacou o LiteLLM diretamente. Em vez disso, explorou uma cadeia de confiança:

1. Primeiro comprometimento: Trivy – Em 19 de março, o TeamPCP obteve acesso ao pipeline de GitHub Actions do Trivy usando uma credencial que havia sido rotacionada, mas não totalmente revogada . Eles publicaram lançamentos maliciosos do Trivy que injetavam um payload de roubo de credenciais em qualquer runner de CI/CD que instalasse o scanner comprometido.
2. Segundo comprometimento: LiteLLM – O próprio pipeline de CI/CD do LiteLLM instalava automaticamente o scanner de vulnerabilidades Trivy como uma etapa de segurança. Quando o pipeline foi executado em 24 de março, ele puxou a versão envenenada do Trivy. O payload malicioso dentro do Trivy vasculhou o ambiente do runner de CI, extraindo os tokens de publicação do PyPI e as credenciais do GitHub do LiteLLM .
3. Terceiro comprometimento: Usuários do PyPI – Armado com as credenciais do PyPI do LiteLLM, o TeamPCP enviou lançamentos maliciosos do LiteLLM para o PyPI. Qualquer desenvolvedor ou organização que executasse pip install litellm==1.82.7 ou 1.82.8 — ou cujo pipeline de CI/CD puxasse automaticamente a versão mais recente — teria seu ambiente de build vasculhado em busca de segredos.

Como a CloudSEK observou, "o ataque se originou da dependência do Trivy usada no fluxo de trabalho de varredura de segurança de CI/CD [do LiteLLM]" . Não há CVE para o comprometimento do LiteLLM em si porque nada no código do próprio LiteLLM era vulnerável; a vulnerabilidade estava na relação de confiança entre o pipeline de build do LiteLLM e sua ferramenta de varredura de segurança .

Escala da Exfiltração de Dados

A escala total do roubo de dados só ficou clara cinco meses depois, quando várias empresas de inteligência de ameaças publicaram suas análises:

• Hudson Rock obteve e analisou independentemente o arquivo de exfiltração bruto dos atacantes: um arquivo RAR de 153 GB contendo exatamente 433.909 arquivos e 118.829 dumps de runners de CI, atribuídos a 2.488 domínios corporativos .
• A CloudSEK reconstruiu aproximadamente 434.000 arquivos de pipeline de CI/CD capturados e identificou mais de 2.500 organizações potencialmente expostas . A CloudSEK descreveu o incidente como o maior ataque à cadeia de suprimentos visando infraestrutura de IA identificado até agora em 2026 .
• Os dados comprometidos incluíam credenciais de plataformas de nuvem (AWS, GCP, Azure), chaves de API de provedores de IA (OpenAI, Anthropic, Cohere, etc.), chaves privadas SSH, tokens de conta de serviço do Kubernetes, logins de registro Docker, arquivos .env, strings de conexão de banco de dados, segredos de assinatura do Slack, segredos de cliente do Salesforce e credenciais do Git .

O FBI emitiu um alerta relâmpago em 2 de julho de 2026 (FLASH-20260702-01) avisando que atores afiliados provavelmente usarão as credenciais exfiltradas durante a campanha do TeamPCP muito após o comprometimento inicial. Ele instruiu as organizações a rotacionarem segredos de CI/CD, tokens de publicação e credenciais de nuvem acessíveis durante as janelas de exposição relevantes .

Organizações Afetadas

Os domínios expostos incluíam grandes empresas dos setores de tecnologia, finanças, industrial e telecomunicações. As organizações nomeadas e confirmadas por múltiplas fontes incluem :

• Tecnologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (antigo Twitter), Zscaler, Roku, Epic Games
• Industrial: Volkswagen, Siemens, FedEx
• Financeiro: S&P Global, Deloitte
• Telecom: BT Group, Vodafone

O conjunto de dados da CloudSEK continha "correspondências de alta confiança" ligadas a domínios corporativos, repositórios, credenciais ou infraestrutura pertencentes a essas organizações . A Hudson Rock observou que o arquivo continha credenciais "ainda válidas" para muitas dessas organizações meses após o incidente .

Teste Pós-Incidente de Kevin Beaumont

Cinco meses após a violação, o pesquisador de segurança independente Kevin Beaumont realizou uma verificação crucial da realidade. Após a reportagem do Ars Technica sobre a violação, Beaumont testou credenciais comprometidas de uma grande empresa de tecnologia dos EUA que afirmou publicamente ter "rotacionado tudo". Usando uma política de divulgação responsável, ele testou as credenciais e descobriu que "quase todas funcionaram" — o que significa que a organização não havia realmente rotacionado seus segredos comprometidos, apesar de afirmar o contrário .

Essa descoberta ressalta uma lição crítica: declarações sobre rotação de credenciais e a rotação real de credenciais são muitas vezes duas coisas diferentes, e as credenciais roubadas neste ataque continuam sendo uma ameaça ativa.

Recomendação Urgente

Trate todos os segredos, chaves de API, credenciais de nuvem, chaves SSH, configurações do Kubernetes e quaisquer outros dados confidenciais que estavam acessíveis às versões 1.82.7 ou 1.82.8 do LiteLLM como totalmente comprometidos. A rotação imediata de cada credencial que pode ter sido exposta durante a janela de 24 de março de 2026 é essencial — independentemente de uma organização acreditar que já as rotacionou .

O ataque é considerado a maior violação de cadeia de suprimentos de infraestrutura de IA de 2026, e os dados roubados continuam sendo uma ameaça persistente para invasões de acompanhamento, como demonstrado pelo teste de credenciais de Beaumont . O FBI alertou que ataques subsequentes são prováveis, e o tesouro de credenciais válidas no arquivo de 153 GB é um presente que continua dando para os atores de ameaças.

Se sua organização usou o LiteLLM de qualquer forma em 24 de março de 2026, considere-se comprometido. Verifique a existência do arquivo .pth malicioso (litellm_init.pth) e do backdoor de persistência (~/.config/sysmon/sysmon.py), verifique a versão instalada com pip show litellm e rotacione todas as credenciais que estavam acessíveis a partir do host afetado — chaves de nuvem, chaves de API de provedores de IA, tokens do Kubernetes, chaves SSH e tokens de CI/CD .