Атака на цепочку поставок LiteLLM затронула более 2500 организаций — многие до сих пор не отозвали свои секреты
Каскадная атака TeamPCP на LiteLLM в марте 2026 г. потенциально затронула более 2 500 организаций и 434 000 CI/CD конвейеров — всего за 40 минут злоумышленники похитили 153 ГБ архив с 433 909 файлами учётных данных.
Каскадная атака TeamPCP на LiteLLM в марте 2026 г. потенциально затронула более 2 500 организаций и 434 000 CI/CD конвейеров — всего за 40 минут злоумышленники похитили 153 ГБ архив с 433 909 файлами учётных данных.
Атака показала, как компрометация одного инструмента безопасности (Trivy) открывает доступ к токенам публикации для следующей цели (KICS, затем LiteLLM), превращая единичную утечку в заражение всей экосистемы.
153 гигабайтный архив пока не опубликован публично, что даёт организациям критическое окно для ротации ключей, однако тысячи украденных учётных данных не имеют привязки к конкретной компании — их владельцы даже не зна...
What was the scope and impact of the March 2026 LiteLLM supply chain attack, including how TeamPCP carried out the breach, which organizatioThe LiteLLM supply chain attack demonstrated how compromising one security tool can cascade into a breach affecting thousands of organizations.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What was the scope and impact of the March 2026 LiteLLM supply chain attack, including how TeamPCP carried out the breach, which organizatio. Article summary: Here is a comprehensive answer based on the latest threat-intelligence findings from CloudSEK, Hudson Rock, the Cloud Security Alliance, Trend Micro, and others.. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make i
openai.com
В марте 2026 года хакерская группа TeamPCP провела каскадную атаку на цепочку поставок, которая началась со взлома сканера безопасности и закончилась компрометацией LiteLLM — одного из самых популярных AI-прокси-пакетов в экосистеме Python. В результате пострадали более 2 500 организаций, были скомпрометированы свыше 434 000 CI/CD-конвейеров, а злоумышленники похитили 433 909 файлов с учётными данными, упаковав их в архив объёмом 153 ГБ. Разбираемся, что произошло, кто находится в группе риска и почему угроза далека от завершения.
Как TeamPCP осуществила пятидневную каскадную атаку
TeamPCP (также известна как PCPcat, ShellForce и DeadCatx3) — киберпреступная группа, действующая с середины 2025 года и движимая финансовой выгодой . Их мартовская кампания 2026 года отличалась каскадной архитектурой: учётные данные, украденные из CI/CD-конвейера одной жертвы, становились вектором доступа для следующей цели . Цепочка разворачивалась в течение пяти дней:
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Атака на цепочку поставок LiteLLM затронула более 2500 организаций — многие до сих пор не отозвали свои секреты»?
Каскадная атака TeamPCP на LiteLLM в марте 2026 г. потенциально затронула более 2 500 организаций и 434 000 CI/CD конвейеров — всего за 40 минут злоумышленники похитили 153 ГБ архив с 433 909 файлами учётных данных.
Какие ключевые моменты необходимо проверить в первую очередь?
Каскадная атака TeamPCP на LiteLLM в марте 2026 г. потенциально затронула более 2 500 организаций и 434 000 CI/CD конвейеров — всего за 40 минут злоумышленники похитили 153 ГБ архив с 433 909 файлами учётных данных. Атака показала, как компрометация одного инструмента безопасности (Trivy) открывает доступ к токенам публикации для следующей цели (KICS, затем LiteLLM), превращая единичную утечку в заражение всей экосистемы.
Что мне делать дальше на практике?
153 гигабайтный архив пока не опубликован публично, что даёт организациям критическое окно для ротации ключей, однако тысячи украденных учётных данных не имеют привязки к конкретной компании — их владельцы даже не зна...
TeamPCP получила первоначальный доступ к инфраструктуре Aqua Security, используя неправильную конфигурацию рабочего процесса pull_request_target (уязвимость типа «PwnRequest») . Злоумышленники перехватили недавно сменённый персональный токен доступа сервисного аккаунта aqua-bot и принудительно записали версионные теги, указывающие на вредоносные коммиты. Семьдесят шесть из 77 тегов trivy-action и все 7 тегов setup-trivy были захвачены. Этот первый взлом отслеживается как CVE-2026-33634 (CVSS 9.8, критический уровень) .
День 2: KICS (23 марта)
Используя токены, украденные у жертв Trivy, TeamPCP авторизовалась как сервисный аккаунт cx-plugins-releases компании Checkmarx и опубликовала вредоносные релизы KICS .
День 3: LiteLLM (24 марта)
Сборочный конвейер LiteLLM автоматически установил скомпрометированный сканер Trivy, что дало вредоносному ПО доступ на чтение к среде раннера. TeamPCP похитила токены публикации на PyPI от LiteLLM и опубликовала две вредоносные версии — 1.82.7 и 1.82.8 — в репозиторий PyPI . Вредоносные пакеты находились в открытом доступе всего лишь около 40 минут до момента обнаружения .
Вредоносная нагрузка
Вредоносное ПО LiteLLM развернуло трёхстадийную полезную нагрузку:
Сборщик учётных данных, нацеленный на секреты более чем 50 категорий
Инструмент для латерального перемещения в Kubernetes, который повышал привилегии до root и разворачивал привилегированные поды
Постоянный бэкдор для удалённого выполнения кода
Вредоносное ПО использовало инъекцию .pth-файлов для автоматического запуска при каждом старте интерпретатора Python, не требуя явного импорта — это делало его особенно трудно обнаруживаемым . На скомпрометированных раннерах нагрузка, отслеживаемая Google под именем SANDCLOCK, собирала SSH-ключи, учётные данные AWS/GCP/Azure, токены сервисных аккаунтов Kubernetes и пароли баз данных .
Пострадавшие организации
Источник
Данные
CloudSEK (восстановленная оценка уязвимости)
Более 2 500 организаций потенциально подверглись риску
CloudSEK (CI/CD-конвейеры)
~434 000 запусков конвейеров были затронуты
Hudson Rock (атрибутированные дампы CI-раннеров)
118 829 дампов от 2 488 корпоративных доменов
Размер архива
153 ГБ, 433 909 файлов
Среди названных жертв, идентифицированных несколькими компаниями по киберразведке, фигурируют :
Европейская комиссия также была взломана в ходе первоначальной атаки на Trivy, что привело к краже учётных данных управления AWS и утечке ~340 ГБ несжатых данных, затронув 42 внутренних клиента и 29 дополнительных организаций ЕС .
Масштаб утечки учётных данных
Среди украденных типов данных :
Ключи IAM облачных провайдеров (AWS, GCP, Azure)
SSH-ключи и секреты Kubernetes
Пароли баз данных и секреты клиентов Salesforce
Секреты подписи Slack и переменные окружения
API-ключи AI-провайдеров (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)
2 июля 2026 года ФБР выпустило экстренное предупреждение (FLASH advisory) о том, что организации, пострадавшие от этой кампании, должны рассматривать скомпрометированные данные и учётные данные как постоянную угрозу, так как аффилированные лица, вероятно, используют их в своих целях .
Постоянная угроза от неотозванных секретов
Несмотря на серьёзность взлома, угроза далека от локализации по нескольким причинам:
Архив пока не утёк
Hudson Rock, получившая и проанализировавшая архив, сообщает, что набор данных объёмом 153 ГБ пока не циркулирует широко — компания называет это «критическим окном возможностей» для организаций, чтобы отозвать ключи до того, как архив всё же утечёт .
Многие организации так и не отозвали секреты
Исследователь безопасности Кевин Бомон проверил учётные данные одной организации, которая утверждала, что отозвала все ключи. Его находка: «Сработали почти все» .
Неидентифицируемые учётные данные
Значительная часть украденных файлов содержит пароли баз данных, API-ключи и облачные учётные данные без указания корпоративного email, собственного домена или внутреннего имени сервера, которые позволили бы определить владельца. Эти организации даже не знают, что они пострадали.
Раскрытие против подтверждённого взлома
Цифра в 2 500+ отражает восстановленную оценку уязвимости, а не подтверждённый взлом для каждой организации. CloudSEK подчёркивает, что каждая организация из этого списка должна провести собственную проверку . Однако набор данных уже находится в руках нескольких фирм по киберразведке, и естественный жизненный цикл утечки предполагает его более широкое распространение в будущем.
Ключевые выводы для организаций
Любая организация, которая:
Запускала LiteLLM версий 1.82.7 или 1.82.8
Имела CI/CD-конвейеры, которые использовали эти версии
Использовала скомпрометированный сканер Trivy в период с 19 по 24 марта 2026 года
...должна считать все секреты, доступные в этой среде, скомпрометированными и немедленно их отозвать, даже если никаких очевидных признаков взлома не обнаружено . Предупреждение ФБР усиливает эту позицию: рассматривайте украденные учётные данные как постоянную угрозу, так как аффилированные лица, скорее всего, используют их в своих целях .
TeamPCP продемонстрировала, что один неотозванный токен на три уровня вложенности инструментов может превратить единичную утечку учётных данных в заражение целой экосистемы. Атака на LiteLLM — суровое напоминание о том, что в современных цепочках поставок программного обеспечения инструмент, которому вы доверяете для поиска уязвимостей, сам может стать уязвимостью.
