O ataque de 40 minutos que expôs mais de 2.500 empresas: a cronologia completa da violação na cadeia de suprimentos do LiteLLM em março de 2026

Em março de 2026, uma janela de 40 minutos no PyPI se tornou o estopim para a maior violação de cadeia de suprimentos de infraestrutura de IA do ano. O grupo de ameaças TeamPCP publicou duas versões maliciosas do LiteLLM, um gateway proxy de IA open-source amplamente utilizado, e a consequente exfiltração de credenciais afetou mais de 2.500 organizações globalmente — incluindo Amazon, Microsoft, Cisco, NVIDIA e Samsung. Esta é a cronologia completa, a mecânica do ataque e as consequências do incidente.

Cronologia do Ataque

O ataque se desenrolou ao longo de vários dias em março de 2026 por meio de um comprometimento em cascata de ferramentas de segurança confiáveis. As datas-chave são:

• 19 de março de 2026 – O TeamPCP comprometeu o Trivy da Aqua Security, um popular scanner de vulnerabilidades open-source usado em pipelines de CI/CD. O grupo explorou uma rotação de credenciais incompleta na Aqua Security para forçar pushes maliciosos em 76 das 77 tags de versão do trivy-action e em todas as sete tags do setup-trivy . Esse comprometimento recebeu o identificador CVE-2026-33634 .
• 24 de março de 2026, ~10:39 UTC – A versão 1.82.7 do LiteLLM foi publicada no PyPI. O código malicioso foi injetado durante o processo de build de CI/CD do próprio LiteLLM porque o pipeline instalava automaticamente o scanner Trivy, agora envenenado, como parte de seu fluxo de trabalho de varredura de segurança .
• 24 de março de 2026, ~10:39–11:19 UTC – A versão 1.82.8 também foi enviada. O backdoor nesses pacotes executava um payload de roubo de credenciais que coletava credenciais de nuvem, chaves SSH, configurações do Kubernetes, credenciais de banco de dados, chaves de API e outros segredos, exfiltrando-os para o servidor remoto do TeamPCP . A versão 1.82.8 era particularmente perigosa: instalava um arquivo .pth que executava o payload em qualquer invocação do Python, mesmo que o LiteLLM nunca fosse importado explicitamente .
• 24 de março de 2026, ~11:19 UTC – O PyPI colocou o projeto LiteLLM em quarentena, aproximadamente 40 minutos após o upload da primeira versão maliciosa. No entanto, a equipe do LiteLLM aconselhou tratar qualquer instalação até as 16:00 UTC daquele dia como suspeita . Os pacotes foram baixados mais de 119.000 vezes durante a janela de cerca de 2,5 horas antes da quarentena se tornar totalmente eficaz .

O TeamPCP usou as credenciais de publicação do PyPI roubadas para enviar esses lançamentos diretamente ao PyPI, contornando o processo de liberação normal baseado no GitHub do LiteLLM . O grupo também comprimiu atividades maliciosas adicionais na mesma janela, incluindo a desfiguração de 15 repositórios de organizações, a eliminação de 182 repositórios pessoais e a tornada pública de 70 repositórios privados da BerriAI (organização controladora do LiteLLM) .

Como o Ataque Funcionou: Um Comprometimento em Cascata na Cadeia de Suprimentos

O ataque é um exemplo clássico de comprometimento em cascata na cadeia de suprimentos. O TeamPCP não atacou o LiteLLM diretamente. Em vez disso, explorou uma cadeia de confiança:

1. Primeiro comprometimento: Trivy – Em 19 de março, o TeamPCP obteve acesso ao pipeline de GitHub Actions do Trivy usando uma credencial que havia sido rotacionada, mas não totalmente revogada . Eles publicaram lançamentos maliciosos do Trivy que injetavam um payload de roubo de credenciais em qualquer runner de CI/CD que instalasse o scanner comprometido.
2. Segundo comprometimento: LiteLLM – O próprio pipeline de CI/CD do LiteLLM instalava automaticamente o scanner de vulnerabilidades Trivy como uma etapa de segurança. Quando o pipeline foi executado em 24 de março, ele puxou a versão envenenada do Trivy. O payload malicioso dentro do Trivy vasculhou o ambiente do runner de CI, extraindo os tokens de publicação do PyPI e as credenciais do GitHub do LiteLLM .
3. Terceiro comprometimento: Usuários do PyPI – Armado com as credenciais do PyPI do LiteLLM, o TeamPCP enviou lançamentos maliciosos do LiteLLM para o PyPI. Qualquer desenvolvedor ou organização que executasse

   pip install litellm==1.82.7

   ou 1.82.8 — ou cujo pipeline de CI/CD puxasse automaticamente a versão mais recente — teria seu ambiente de build vasculhado em busca de segredos.

Como a CloudSEK observou, "o ataque se originou da dependência do Trivy usada no fluxo de trabalho de varredura de segurança de CI/CD [do LiteLLM]" . Não há CVE para o comprometimento do LiteLLM em si porque nada no código do próprio LiteLLM era vulnerável; a vulnerabilidade estava na relação de confiança entre o pipeline de build do LiteLLM e sua ferramenta de varredura de segurança .

Escala da Exfiltração de Dados

A escala total do roubo de dados só ficou clara cinco meses depois, quando várias empresas de inteligência de ameaças publicaram suas análises:

• Hudson Rock obteve e analisou independentemente o arquivo de exfiltração bruto dos atacantes: um arquivo RAR de 153 GB contendo exatamente 433.909 arquivos e 118.829 dumps de runners de CI, atribuídos a 2.488 domínios corporativos .
• A CloudSEK reconstruiu aproximadamente 434.000 arquivos de pipeline de CI/CD capturados e identificou mais de 2.500 organizações potencialmente expostas . A CloudSEK descreveu o incidente como o maior ataque à cadeia de suprimentos visando infraestrutura de IA identificado até agora em 2026 .
• Os dados comprometidos incluíam credenciais de plataformas de nuvem (AWS, GCP, Azure), chaves de API de provedores de IA (OpenAI, Anthropic, Cohere, etc.), chaves privadas SSH, tokens de conta de serviço do Kubernetes, logins de registro Docker, arquivos .env, strings de conexão de banco de dados, segredos de assinatura do Slack, segredos de cliente do Salesforce e credenciais do Git .

O FBI emitiu um alerta relâmpago em 2 de julho de 2026 (FLASH-20260702-01) avisando que atores afiliados provavelmente usarão as credenciais exfiltradas durante a campanha do TeamPCP muito após o comprometimento inicial. Ele instruiu as organizações a rotacionarem segredos de CI/CD, tokens de publicação e credenciais de nuvem acessíveis durante as janelas de exposição relevantes .

Organizações Afetadas

Os domínios expostos incluíam grandes empresas dos setores de tecnologia, finanças, industrial e telecomunicações. As organizações nomeadas e confirmadas por múltiplas fontes incluem :

• Tecnologia: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (antigo Twitter), Zscaler, Roku, Epic Games
• Industrial: Volkswagen, Siemens, FedEx
• Financeiro: S&P Global, Deloitte
• Telecom: BT Group, Vodafone

O conjunto de dados da CloudSEK continha "correspondências de alta confiança" ligadas a domínios corporativos, repositórios, credenciais ou infraestrutura pertencentes a essas organizações . A Hudson Rock observou que o arquivo continha credenciais "ainda válidas" para muitas dessas organizações meses após o incidente .

Teste Pós-Incidente de Kevin Beaumont

Cinco meses após a violação, o pesquisador de segurança independente Kevin Beaumont realizou uma verificação crucial da realidade. Após a reportagem do Ars Technica sobre a violação, Beaumont testou credenciais comprometidas de uma grande empresa de tecnologia dos EUA que afirmou publicamente ter "rotacionado tudo". Usando uma política de divulgação responsável, ele testou as credenciais e descobriu que "quase todas funcionaram" — o que significa que a organização não havia realmente rotacionado seus segredos comprometidos, apesar de afirmar o contrário .

Essa descoberta ressalta uma lição crítica: declarações sobre rotação de credenciais e a rotação real de credenciais são muitas vezes duas coisas diferentes, e as credenciais roubadas neste ataque continuam sendo uma ameaça ativa.

Recomendação Urgente

Trate todos os segredos, chaves de API, credenciais de nuvem, chaves SSH, configurações do Kubernetes e quaisquer outros dados confidenciais que estavam acessíveis às versões 1.82.7 ou 1.82.8 do LiteLLM como totalmente comprometidos. A rotação imediata de cada credencial que pode ter sido exposta durante a janela de 24 de março de 2026 é essencial — independentemente de uma organização acreditar que já as rotacionou .

O ataque é considerado a maior violação de cadeia de suprimentos de infraestrutura de IA de 2026, e os dados roubados continuam sendo uma ameaça persistente para invasões de acompanhamento, como demonstrado pelo teste de credenciais de Beaumont . O FBI alertou que ataques subsequentes são prováveis, e o tesouro de credenciais válidas no arquivo de 153 GB é um presente que continua dando para os atores de ameaças.

Se sua organização usou o LiteLLM de qualquer forma em 24 de março de 2026, considere-se comprometido. Verifique a existência do arquivo .pth malicioso (litellm_init.pth) e do backdoor de persistência (~/.config/sysmon/sysmon.py), verifique a versão instalada com

pip show litellm