การโจมตี 40 นาทีที่เปิดโปงบริษัทกว่า 2,500 แห่ง: ไทม์ไลน์ฉบับสมบูรณ์ของเหตุการณ์โจมตีห่วงโซ่อุปทาน LiteLLM มีนาคม 2026

ในเดือนมีนาคม 2026 ช่วงเวลาเพียง 40 นาทีบน PyPI กลายเป็นจุดเริ่มต้นของการโจมตีห่วงโซ่อุปทานโครงสร้างพื้นฐาน AI ที่ใหญ่ที่สุดแห่งปี กลุ่มภัยคุกคาม TeamPCP เผยแพร่ LiteLLM ซึ่งเป็นเกตเวย์พร็อกซี AI โอเพนซอร์สที่ใช้กันอย่างแพร่หลาย จำนวน 2 เวอร์ชันที่เป็นอันตราย และการขโมยข้อมูลประจำตัวที่ตามมาได้ส่งผลกระทบต่อองค์กรกว่า 2,500 แห่งทั่วโลก รวมถึง Amazon, Microsoft, Cisco, NVIDIA และ Samsung ต่อไปนี้คือไทม์ไลน์ กลไกการโจมตี และผลกระทบจากเหตุการณ์ทั้งหมด

ไทม์ไลน์การโจมตี

การโจมตีเกิดขึ้นเป็นระยะเวลาหลายวันในเดือนมีนาคม 2026 โดยผ่านการเจาะระบบเครื่องมือรักษาความปลอดภัยที่เชื่อถือได้แบบลูกโซ่ วันที่สำคัญมีดังนี้:

• 19 มีนาคม 2026 – TeamPCP เจาะระบบ Trivy ของ Aqua Security ซึ่งเป็นสแกนเนอร์ช่องโหว่โอเพนซอร์สยอดนิยมที่ใช้ในไปป์ไลน์ CI/CD กลุ่มนี้ใช้ประโยชน์จากการเปลี่ยนรหัสผ่านที่ไม่สมบูรณ์ที่ Aqua Security เพื่อพุชคอมมิตที่เป็นอันตรายไปยังแท็กเวอร์ชัน trivy-action จำนวน 76 จาก 77 แท็ก และแท็ก setup-trivy ทั้งเจ็ดแท็ก การเจาะระบบนี้ได้รับมอบหมาย CVE-2026-33634
• 24 มีนาคม 2026, ~10:39 UTC – LiteLLM เวอร์ชัน 1.82.7 ถูกเผยแพร่ไปยัง PyPI โค้ดที่เป็นอันตรายถูกฉีดเข้าไประหว่างกระบวนการสร้าง CI/CD ของ LiteLLM เอง เนื่องจากไปป์ไลน์ติดตั้งสแกนเนอร์ Trivy ที่ถูกวางยาพิษโดยอัตโนมัติซึ่งเป็นส่วนหนึ่งของขั้นตอนการสแกนความปลอดภัย
• 24 มีนาคม 2026, ~10:39–11:19 UTC – เวอร์ชัน 1.82.8 ถูกพุชเช่นกัน แบ็คดอร์ในแพ็คเกจเหล่านี้ดำเนินการเพย์โหลดขโมยข้อมูลประจำตัวซึ่งเก็บเกี่ยวข้อมูลประจำตัวคลาวด์ คีย์ SSH การกำหนดค่า Kubernetes ข้อมูลประจำตัวฐานข้อมูล คีย์ API และความลับอื่น ๆ โดยส่งออกไปยังเซิร์ฟเวอร์ระยะไกลของ TeamPCP เวอร์ชัน 1.82.8 อันตรายเป็นพิเศษ: มันติดตั้งไฟล์ .pth ที่รันเพย์โหลดบนการเรียกใช้ Python ใด ๆ แม้ว่า LiteLLM จะไม่ได้ถูก import อย่างชัดแจ้งก็ตาม
• 24 มีนาคม 2026, ~11:19 UTC – PyPI กักบริเวณโปรเจกต์ LiteLLM ประมาณ 40 นาที หลังจากอัปโหลดเวอร์ชันที่เป็นอันตรายครั้งแรก อย่างไรก็ตาม ทีม LiteLLM แนะนำให้ถือว่าการติดตั้งใด ๆ ภายใน 16:00 UTC ของวันนั้นน่าสงสัย แพ็คเกจถูกดาวน์โหลด มากกว่า 119,000 ครั้ง ในช่วงเวลาประมาณ 2.5 ชั่วโมงก่อนที่การกักบริเวณจะมีผลสมบูรณ์

TeamPCP ใช้ข้อมูลประจำตัวการเผยแพร่ PyPI ที่ถูกขโมยเพื่อพุชรุ่นเหล่านี้ไปยัง PyPI โดยตรง โดยเลี่ยงกระบวนการเผยแพร่ตามปกติบน GitHub ของ LiteLLM กลุ่มยังบีบอัดกิจกรรมที่เป็นอันตรายเพิ่มเติมในช่วงเวลาเดียวกัน รวมถึงการทำลายหน้า repository ขององค์กร 15 แห่ง ลบ repo ส่วนตัว 182 แห่ง และทำให้ repo ส่วนตัวของ BerriAI (องค์กรแม่ของ LiteLLM) จำนวน 70 แห่งเป็นสาธารณะ

การโจมตีทำงานอย่างไร: การประนีประนอมห่วงโซ่อุปทานแบบลูกโซ่

การโจมตีนี้เป็นตัวอย่างคลาสสิกของการประนีประนอมห่วงโซ่อุปทานแบบลูกโซ่ TeamPCP ไม่ได้โจมตี LiteLLM โดยตรง แต่พวกเขาใช้ประโยชน์จากห่วงโซ่ความไว้วางใจ:

1. การประนีประนอมครั้งแรก: Trivy – เมื่อวันที่ 19 มีนาคม TeamPCP เข้าถึงไปป์ไลน์ GitHub Actions ของ Trivy โดยใช้ข้อมูลประจำตัวที่ถูกเปลี่ยนแต่ไม่ได้ถูกเพิกถอนอย่างสมบูรณ์ พวกเขาเผยแพร่รุ่น Trivy ที่เป็นอันตรายซึ่งฉีดเพย์โหลดขโมยข้อมูลประจำตัวเข้าไปใน runner CI/CD ใด ๆ ที่ติดตั้งสแกนเนอร์ที่ถูกประนีประนอม
2. การประนีประนอมครั้งที่สอง: LiteLLM – ไปป์ไลน์ CI/CD ของ LiteLLM ติดตั้งสแกนเนอร์ช่องโหว่ Trivy โดยอัตโนมัติเป็นขั้นตอนด้านความปลอดภัย เมื่อไปป์ไลน์ทำงานในวันที่ 24 มีนาคม มันดึงเวอร์ชัน Trivy ที่ถูกวางยาพิษ เพย์โหลดที่เป็นอันตรายภายใน Trivy ได้ขูดข้อมูลจากสภาพแวดล้อมของ CI runner โดยแยกโทเค็นการเผยแพร่ PyPI และข้อมูลประจำตัว GitHub ของ LiteLLM
3. การประนีประนอมครั้งที่สาม: ผู้ใช้ PyPI – ด้วยข้อมูลประจำตัว PyPI ของ LiteLLM TeamPCP จึงพุชรุ่น LiteLLM ที่เป็นอันตรายไปยัง PyPI นักพัฒนาหรือองค์กรใด ๆ ที่รัน

   pip install litellm==1.82.7

   หรือ 1.82.8 หรือที่ไปป์ไลน์ CI/CD ดึงเวอร์ชันล่าสุดโดยอัตโนมัติ จะทำให้สภาพแวดล้อมบิลด์ของพวกเขาถูกขูดข้อมูลความลับ

ตามที่ CloudSEK ระบุ "การโจมตีมีต้นกำเนิดจาก dependencies Trivy ที่ใช้ในขั้นตอนการสแกนความปลอดภัย CI/CD [ของ LiteLLM]" ไม่มี CVE สำหรับการประนีประนอม LiteLLM เนื่องจากไม่มีอะไรในโค้ดของ LiteLLM ที่เสี่ยง ช่องโหว่อยู่ในความสัมพันธ์ที่เชื่อถือได้ระหว่างไปป์ไลน์บิลด์ของ LiteLLM และเครื่องมือสแกนความปลอดภัย

ขนาดของการขโมยข้อมูล

ขนาดเต็มของการขโมยข้อมูลเริ่มชัดเจนขึ้นเมื่อห้าเดือนต่อมาเมื่อบริษัทข่าวกรองภัยคุกคามหลายแห่งเผยแพร่การวิเคราะห์:

• Hudson Rock ได้รับและวิเคราะห์ไฟล์เก็บถาวรการขโมยข้อมูลดิบของผู้โจมตีอย่างอิสระ: ไฟล์ RAR ขนาด 153 GB ซึ่งประกอบด้วย 433,909 ไฟล์ และ 118,829 CI runner dumps ซึ่งเชื่อมโยงกับ โดเมนองค์กร 2,488 แห่ง
• CloudSEK สร้างไฟล์ไปป์ไลน์ CI/CD ที่ถูกจับได้ประมาณ 434,000 ไฟล์ ขึ้นมาใหม่ และระบุ องค์กรที่อาจถูกเปิดเผยมากกว่า 2,500 แห่ง CloudSEK อธิบายเหตุการณ์นี้ว่าเป็นการโจมตีห่วงโซ่อุปทานที่กำหนดเป้าหมายโครงสร้างพื้นฐาน AI ที่ใหญ่ที่สุดที่ระบุได้ในปี 2026
• ข้อมูลที่ถูกประนีประนอมรวมถึงข้อมูลประจำตัวแพลตฟอร์มคลาวด์ (AWS, GCP, Azure), คีย์ API ของผู้ให้บริการ AI (OpenAI, Anthropic, Cohere ฯลฯ ), คีย์ส่วนตัว SSH, โทเค็นบัญชีบริการ Kubernetes, ข้อมูลล็อกอิน Docker Registry, ไฟล์ .env, สตริงการเชื่อมต่อฐานข้อมูล, ความลับในการลงชื่อเข้าใช้ Slack, ความลับของไคลเอ็นต์ Salesforce และข้อมูลประจำตัว Git

FBI ออกคำแนะนำด่วนเมื่อวันที่ 2 กรกฎาคม 2026 (FLASH-20260702-01) เตือนว่าผู้เกี่ยวข้องมีแนวโน้มที่จะนำข้อมูลประจำตัวที่ถูกขโมยไปใช้เป็นอาวุธในระหว่างการรณรงค์ของ TeamPCP เป็นเวลานานหลังจากการประนีประนอมครั้งแรก มันบอกให้องค์กรเปลี่ยนข้อมูลประจำตัว CI/CD โทเค็นการเผยแพร่ และข้อมูลประจำตัวคลาวด์ที่สามารถเข้าถึงได้ในช่วงเวลาที่มีการเปิดเผยที่เกี่ยวข้อง

องค์กรที่ได้รับผลกระทบ

โดเมนที่ถูกเปิดเผยรวมถึงองค์กรขนาดใหญ่ในภาคเทคโนโลยี การเงิน อุตสาหกรรม และโทรคมนาคม องค์กรที่ได้รับการยืนยันชื่อจากหลายแหล่งรวมถึง :

• เทคโนโลยี: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (เดิมคือ Twitter), Zscaler, Roku, Epic Games
• อุตสาหกรรม: Volkswagen, Siemens, FedEx
• การเงิน: S&P Global, Deloitte
• โทรคมนาคม: BT Group, Vodafone

ชุดข้อมูลของ CloudSEK มี "การจับคู่ที่มีความเชื่อมั่นสูง" ที่เชื่อมโยงกับโดเมนองค์กร พื้นที่เก็บข้อมูล ข้อมูลประจำตัว หรือโครงสร้างพื้นฐานที่เป็นขององค์กรเหล่านี้ Hudson Rock ตั้งข้อสังเกตว่าไฟล์เก็บถาวรมีข้อมูลประจำตัวที่ "ยังคงใช้ได้" สำหรับองค์กรเหล่านี้หลายแห่งเป็นเวลาเดือนหลังเหตุการณ์

การทดสอบหลังเหตุการณ์ของ Kevin Beaumont

ห้าเดือนหลังจากการละเมิด นักวิจัยความปลอดภัยอิสระ Kevin Beaumont ได้ทำการตรวจสอบความจริงครั้งสำคัญ หลังจากรายงานของ Ars Technica เกี่ยวกับการละเมิด Beaumont ทดสอบข้อมูลประจำตัวที่ถูกประนีประนอมจากบริษัทเทคโนโลยีรายใหญ่ของสหรัฐฯ ที่อ้างต่อสาธารณะว่ามัน "เปลี่ยนทุกอย่างแล้ว" โดยใช้นโยบายการเปิดเผยข้อมูลอย่างรับผิดชอบ เขาทดสอบข้อมูลประจำตัวและพบว่า "เกือบทุกอันใช้ได้" หมายความว่าองค์กรไม่ได้เปลี่ยนความลับที่ถูกประนีประนอมจริง ๆ แม้จะอ้างว่าเปลี่ยนแล้วก็ตาม

การค้นพบนี้เน้นย้ำถึงบทเรียนสำคัญ: คำแถลงเกี่ยวกับการเปลี่ยนข้อมูลประจำตัวและการเปลี่ยนข้อมูลประจำตัวจริงมักเป็นคนละเรื่องกัน และข้อมูลประจำตัวที่ถูกขโมยจากการโจมตีนี้ยังคงเป็นภัยคุกคามที่มีชีวิต

คำแนะนำเร่งด่วน

ปฏิบัติต่อความลับทั้งหมด คีย์ API ข้อมูลประจำตัวคลาวด์ คีย์ SSH การกำหนดค่า Kubernetes และข้อมูลที่ละเอียดอ่อนอื่น ๆ ที่สามารถเข้าถึงได้โดย LiteLLM เวอร์ชัน 1.82.7 หรือ 1.82.8 ว่าถูกประนีประนอมอย่างสมบูรณ์ การเปลี่ยนข้อมูลประจำตัวทุกตัวที่อาจถูกเปิดเผยทันทีในช่วงวันที่ 24 มีนาคม 2026 เป็นสิ่งจำเป็น โดยไม่คำนึงว่าองค์กรเชื่อว่าได้เปลี่ยนไปแล้วหรือไม่

การโจมตีครั้งนี้ถือเป็นการละเมิดห่วงโซ่อุปทานโครงสร้างพื้นฐาน AI ที่ใหญ่ที่สุดในปี 2026 และข้อมูลที่ถูกขโมยยังคงเป็นภัยคุกคามถาวรสำหรับการบุกรุกติดตามผล ดังที่แสดงโดยการทดสอบข้อมูลประจำตัวของ Beaumont FBI ได้เตือนว่าการกำหนดเป้าหมายติดตามผลมีแนวโน้มสูง และขุมทรัพย์ของข้อมูลประจำตัวที่ถูกต้องในไฟล์เก็บถาวรขนาด 153GB นั้นเป็นของขวัญที่ยังให้ผลต่อเนื่องสำหรับผู้กระทำผิด

หากองค์กรของคุณใช้ LiteLLM ในความสามารถใด ๆ ในวันที่ 24 มีนาคม 2026 ให้สันนิษฐานว่าถูกประนีประนอม ตรวจสอบไฟล์ .pth ที่เป็นอันตราย (litellm_init.pth) และแบ็คดอร์ที่คงอยู่ (~/.config/sysmon/sysmon.py) ตรวจสอบเวอร์ชันที่ติดตั้งด้วย

pip show litellm