Så drabbade LiteLLM-attacken tusentals organisationer – och varför faran inte är över

I mars 2026 genomförde hotgruppen TeamPCP en kaskadartad supply chain-attack som började med en säkerhetsskanner och slutade med att LiteLLM, ett av de mest populära öppen källkods-AI-proxypaketen i Python-ekosystemet, komprometterades. Attacken exponerade potentiellt 2 500+ organisationer, komprometterade 434 000+ CI/CD-pipelines och exfiltrerade 433 909 filer med inloggningsuppgifter i ett 153 GB arkiv . Här är vad som hände, vilka som drabbades och varför faran är långt ifrån över.

Så genomförde TeamPCP kaskadattacken på fem dagar

TeamPCP (även känt som PCPcat, ShellForce och DeadCatx3) är en ekonomiskt motiverad cyberbrottsgrupp som varit aktiv sedan mitten av 2025 . Deras kampanj i mars 2026 var anmärkningsvärd för sin kaskadarkitektur: inloggningsuppgifter som stulits från ett offers CI/CD-pipeline blev åtkomstvektorn för nästa mål . Kaskaden utspelade sig över fem dagar:

Dag 1: Trivy (19 mars)

TeamPCP fick initial åtkomst till Aqua Securitys infrastruktur genom att utnyttja en felkonfiguration i arbetsflödet pull_request_target – ett "PwnRequest"-fel . De fångade upp en nyligen roterad personlig åtkomsttoken för tjänstkontot aqua-bot och tvingade fram versionstaggar som pekade på skadliga commits. Sjuttioosex av 77 trivy-action-taggar och alla 7 setup-trivy-taggar kapades . Denna första kompromett spåras som CVE-2026-33634 (CVSS 9.8 Critical) .

Dag 2: KICS (23 mars)

Med hjälp av tokens som stulits från Trivy-offer autentiserade TeamPCP sig som Checkmarx tjänstekonto cx-plugins-releases och publicerade skadliga KICS-versioner .

Dag 3: LiteLLM (24 mars)

LiteLLM:s byggpipeline installerade automatiskt den komprometterade Trivy-skannern, vilket gav skadlig kod läsåtkomst till runner-miljön. TeamPCP stal LiteLLM:s PyPI-publiceringstokens och publicerade två skadliga versioner – version 1.82.7 och 1.82.8 – till PyPI . De skadliga paketen var tillgängliga i endast cirka 40 minuter innan de upptäcktes .

Skadlig kod

Skadlig kod i LiteLLM distribuerade en trestegspayload :

• En stöld av inloggningsuppgifter som riktade in sig på 50+ kategorier av hemligheter
• En Kubernetes lateral rörelse-verktygslåda som eskalerade till root och distribuerade privilegierade poddar
• En bestående bakdörr för fjärrexekvering av kod

Den skadliga koden använde .pth-fil-injektion för att automatiskt köras vid varje Python-interpreter-start, utan att kräva explicit import – vilket gjorde den särskilt svår att upptäcka . På komprometterade runners – spårad av Google som SANDCLOCK – samlades SSH-nycklar, AWS/GCP/Azure-inloggningsuppgifter, Kubernetes-tjänstkonto-tokens och databaslösenord in .

Drabbade organisationer

Källa	Siffra
CloudSEK (rekonstruerad exponering)	2 500+ organisationer potentiellt exponerade
CloudSEK (CI/CD-pipelines)	~434 000 pipeline-körningar påverkade
Hudson Rock (attribuerade CI-runner-dumpar)	118 829 dumpar från 2 488 företagsdomäner
Arkivstorlek	153 GB, 433 909 filer

Namngivna offer identifierade av flera hotintelligensföretag inkluderar :

Teknik: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
Företag: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
Telekom/Media: Orange, BT Group, SiriusXM/AdsWizz
Övrigt: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

Europeiska kommissionen drabbades också via den ursprungliga Trivy-komprometteringen, vilket resulterade i exfiltrering av AWS-hanteringsuppgifter och ~340 GB okomprimerad data stulen, vilket påverkade 42 interna klienter och 29 ytterligare EU-enheter .

Omfattning av exponerade inloggningsuppgifter

De stulna datatyperna inkluderar :

• IAM-nycklar för molnet (AWS, GCP, Azure)
• SSH-nycklar och Kubernetes-hemligheter
• Databaslösenord och Salesforce-klienthemligheter
• Slack-signeringshemligheter och miljövariabler
• AI-leverantörs-API-nycklar (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI utfärdade en FLASH-rådgivning den 2 juli 2026 och varnade för att organisationer som drabbats av kampanjen bör behandla exfiltrerad data och inloggningsuppgifter som en bestående risk, eftersom associerade aktörer sannolikt kommer att använda dem som vapen .

Den pågående risken från ej roterade hemligheter

Trots allvaret i intrånget är risken långt ifrån begränsad av flera skäl:

Arkivet har inte läckt ännu

Hudson Rock, som fick tag på och analyserade arkivet, rapporterar att datasetet på 153 GB inte cirkulerar brett ännu – och kallar det "ett kritiskt fönster av möjligheter" för organisationer att rotera nycklar innan det så småningom läcker .

Många organisationer har inte roterat

Säkerhetsforskaren Kevin Beaumont testade inloggningsuppgifter från en organisation som påstod sig ha roterat allt. Hans upptäckt: "Nästan alla fungerade" .

Oidentifierbara inloggningsuppgifter

En stor andel av de dumpade filerna innehåller databaslösenord, API-nycklar och molnuppgifter utan någon företagsmejl, anpassad domän eller internt servernamn för att identifiera den ägande organisationen. De organisationerna kan inte veta att de är drabbade .

Exponering vs. bekräftad kompromettering

Siffran 2 500+ återspeglar rekonstruerad exponering, inte bekräftad kompromettering för varje organisation. CloudSEK understryker att varje listad organisation bör verifiera självständigt . Men datasetet är nu i händerna på flera hotintelligensföretag, och den naturliga cykeln för ett intrång innebär att bredare spridning förväntas.

Viktiga slutsatser för organisationer

Varje organisation som:

• Körde LiteLLM version 1.82.7 eller 1.82.8
• Hade CI/CD-pipelines som konsumerade dessa versioner
• Använde den komprometterade Trivy-skannern mellan 19 och 24 mars 2026

...bör behandla alla hemligheter som var tillgängliga för den miljön som komprometterade och rotera dem omedelbart, även om inget uppenbart intrång har upptäckts . FBIs FLASH-rådgivning förstärker detta: behandla exfiltrerade inloggningsuppgifter som en bestående risk eftersom associerade aktörer sannolikt kommer att använda dem som vapen .

TeamPCP visade att en enda återkallad token, tre verktyg djupt kan förvandla en enda läcka av inloggningsuppgifter till exponering i hela ekosystemet. LiteLLM-attacken är en skarp påminnelse om att i moderna programvaruleveranskedjor kan verktyget du litar på för att hitta sårbarheter självt bli sårbarheten.

Nyckeltal	Värde
Exponeringstid för skadligt paket	~40 minuter
Potentiellt exponerade organisationer	2 500+
Exponerade CI/CD-pipelines	~434 000
Attribuerade CI-runner-dumpar (Hudson Rock)	118 829
Arkivstorlek	153 GB
Totalt antal filer	433 909
Attribuerade företagsdomäner (Hudson Rock)	2 488
Kända offer namngivna	25+ stora företag