การโจมตีซัพพลายเชน LiteLLM: ผลกระทบต่อ 2,500+ องค์กร และความเสี่ยงจาก Secrets ที่ยังไม่ถูกเปลี่ยน

วันที่ 1: Trivy (19 มีนาคม)

TeamPCP เข้าถึงโครงสร้างพื้นฐานของ Aqua Security ได้เป็นครั้งแรกโดยใช้ประโยชน์จากช่องโหว่การกำหนดค่า pull_request_target workflow (ข้อบกพร่องที่เรียกว่า "PwnRequest") พวกเขาสกัดกั้น Personal Access Token ที่เพิ่งถูกหมุนใหม่ของ Service account aqua-bot และ Force-push version tags เพื่อชี้ไปยัง commits ที่เป็นอันตราย จาก 77 trivy-action tags ถูกบุกรุกถึง 76 tags และ setup-trivy ทั้ง 7 tags ถูกบุกรุกทั้งหมด การบุกรุกครั้งแรกนี้ถูกติดตามเป็น CVE-2026-33634 (คะแนนความรุนแรง CVSS 9.8 (Critical))

วันที่ 2: KICS (23 มีนาคม)

ด้วยการใช้ Token ที่ขโมยมาจากเหยื่อของ Trivy TeamPCP ได้รับการยืนยันตัวตนในฐานะ Service account cx-plugins-releases ของ Checkmarx และเผยแพร่ KICS เวอร์ชันที่เป็นอันตราย

วันที่ 3: LiteLLM (24 มีนาคม)

Build pipeline ของ LiteLLM ติดตั้งเครื่องมือสแกน Trivy ที่ถูกบุกรุกโดยอัตโนมัติ ทำให้มัลแวร์สามารถอ่านข้อมูลในสภาพแวดล้อมของ Runner ได้ TeamPCP ขโมย Token สำหรับการเผยแพร่บน PyPI ของ LiteLLM และเผยแพร่เวอร์ชันที่เป็นอันตรายสองเวอร์ชัน ได้แก่ เวอร์ชัน 1.82.7 และ 1.82.8 ไปยัง PyPI แพ็คเกจที่เป็นอันตรายปรากฏอยู่บน PyPI เป็นเวลาเพียง ประมาณ 40 นาที ก่อนที่จะ被发现

เป้าหมาย (Payload)

มัลแวร์ LiteLLM ปรับใช้ Payload สามขั้นตอน :

• ตัวขโมยข้อมูลประจำตัวที่กำหนดเป้าหมาย ข้อมูลลับมากกว่า 50 ประเภท
• ชุดเครื่องมือเคลื่อนที่แนวราบใน Kubernetes ที่สามารถยกระดับสิทธิ์เป็น Root และปรับใช้ Pod ที่มีสิทธิพิเศษ
• ประตูหลังแบบถาวร (Persistent backdoor) สำหรับการเรียกใช้คำสั่งจากระยะไกล

มัลแวร์ใช้ .pth file injection เพื่อให้ทำงานอัตโนมัติทุกครั้งที่ Python Interpreter เริ่มต้น โดยไม่ต้อง Import อย่างชัดเจน ทำให้ตรวจจับได้ยากเป็นพิเศษ บน Runner ที่ถูกบุกรุก Payload นี้ซึ่งถูกติดตามโดย Google ในชื่อ SANDCLOCK ได้กวาดข้อมูล SSH Keys, ข้อมูลประจำตัวของ AWS/GCP/Azure, Token ของ Service account ใน Kubernetes และรหัสผ่านฐานข้อมูล

องค์กรที่ได้รับผลกระทบ

เหยื่อที่ถูกระบุชื่อโดยบริษัทข่าวกรองภัยคุกคามหลายแห่ง ได้แก่ :

เทคโนโลยี: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom
องค์กร: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services
โทรคมนาคม/สื่อ: Orange, BT Group, SiriusXM/AdsWizz
อื่นๆ: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn

คณะกรรมาธิการยุโรป (European Commission) ก็ถูกบุกรุกผ่านการโจมตี Trivy ครั้งแรกเช่นกัน ส่งผลให้ข้อมูลประจำตัวการจัดการ AWS ถูกขโมย และ ข้อมูลไม่ถูกบีบอัดประมาณ 340 GB ถูกขโมยไป ส่งผลกระทบต่อ 42 ลูกค้าภายในองค์กร และ 29 หน่วยงานของสหภาพยุโรปเพิ่มเติม

ขนาดของการเปิดเผยข้อมูลประจำตัว

ประเภทข้อมูลที่ถูกขโมย ได้แก่ :

• Cloud IAM Keys (AWS, GCP, Azure)
• SSH Keys และ Kubernetes Secrets
• รหัสผ่านฐานข้อมูล และ Salesforce Client Secrets
• Slack Signing Secrets และ Environment Variables
• AI Provider API Keys (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)

FBI ได้ออก FLASH Advisory เมื่อวันที่ 2 กรกฎาคม 2026 เตือนว่าองค์กรที่ตกเป็นเป้าหมายของแคมเปญนี้ควรปฏิบัติต่อข้อมูลที่ถูกขโมยและข้อมูลประจำตัวว่าเป็นความเสี่ยงคงอยู่ เนื่องจากกลุ่มอาชญากรที่เกี่ยวข้องมีแนวโน้มที่จะนำอาวุธเหล่านี้ไปใช้

ความเสี่ยงที่ยังคงอยู่จาก Secrets ที่ยังไม่ถูกเปลี่ยน

แม้ว่าการบุกรุกครั้งนี้จะร้ายแรง แต่ความเสี่ยงยังคงอยู่และยังไม่ถูกจำกัดจากหลายสาเหตุ:

ไฟล์ที่ถูกขโมยยังไม่ถูกเผยแพร่

Hudson Rock ซึ่งได้รับและวิเคราะห์ไฟล์ดังกล่าว รายงานว่าชุดข้อมูล ขนาด 153 GB นี้ยังไม่แพร่กระจายในวงกว้าง โดยเรียกสิ่งนี้ว่า "หน้าต่างแห่งโอกาสสำคัญ (a critical window of opportunity)" สำหรับองค์กรต่างๆ ในการเปลี่ยน Keys ก่อนที่ข้อมูลจะถูกเผยแพร่ในที่สุด

องค์กรส่วนใหญ่ยังไม่ได้เปลี่ยน Secrets

นักวิจัยด้านความปลอดภัย Kevin Beaumont ทดสอบข้อมูลประจำตัวจากองค์กรหนึ่งที่อ้างว่าได้เปลี่ยนทุกอย่างแล้ว ผลการทดสอบของเขาพบว่า: "เกือบทุกอันยังใช้งานได้"

ข้อมูลประจำตัวที่ไม่สามารถระบุเจ้าของได้

ไฟล์ที่ถูกขโมยไปจำนวนมากมีรหัสผ่านฐานข้อมูล, API Keys และข้อมูลประจำตัวระบบคลาวด์ ที่ไม่มีอีเมลของบริษัท, โดเมนที่กำหนดเอง หรือชื่อเซิร์ฟเวอร์ภายใน เพื่อระบุองค์กรที่เป็นเจ้าของ องค์กรเหล่านั้น ไม่สามารถรู้ได้ว่าตนเองได้รับผลกระทบ

การเปิดเผยข้อมูลเทียบกับการบุกรุกที่ได้รับการยืนยัน

ตัวเลข 2,500+ สะท้อนถึง การเปิดเผยที่สร้างขึ้นใหม่ (reconstructed exposure) ไม่ใช่การบุกรุกที่ได้รับการยืนยันสำหรับทุกองค์กร CloudSEK ย้ำว่าทุกองค์กรในรายการควรตรวจสอบด้วยตนเอง แต่ชุดข้อมูลขณะนี้อยู่ในมือของบริษัทข่าวกรองภัยคุกคามหลายแห่ง และวัฏจักรธรรมชาติของการรั่วไหลหมายความว่าคาดว่าข้อมูลจะแพร่กระจายในวงกว้างขึ้น

ข้อสรุปสำคัญสำหรับองค์กร

องค์กรใดก็ตามที่:

• รัน LiteLLM เวอร์ชัน 1.82.7 หรือ 1.82.8
• มี CI/CD Pipelines ที่ใช้เวอร์ชันเหล่านั้น
• ใช้เครื่องสแกน Trivy ที่ถูกบุกรุกระหว่างวันที่ 19-24 มีนาคม 2026

...ควรปฏิบัติต่อ Secrets ทั้งหมดที่สามารถเข้าถึงได้จากสภาพแวดล้อมนั้นว่าถูกบุกรุก และเปลี่ยนข้อมูลทันที แม้ว่าจะไม่พบการบุกรุกที่ชัดเจนก็ตาม คำเตือน FLASH Advisory ของ FBI ย้ำถึงประเด็นนี้: ปฏิบัติต่อข้อมูลประจำตัวที่ถูกขโมยว่าเป็นความเสี่ยงคงอยู่ เนื่องจากกลุ่มอาชญากรที่เกี่ยวข้องมีแนวโน้มที่จะนำไปใช้เป็นอาวุธ

TeamPCP แสดงให้เห็นว่า Token ที่ยังไม่ถูกเพิกถอนเพียง Token เดียวที่ลึกลงไปสามเครื่องมือ สามารถเปลี่ยนการรั่วไหลของข้อมูลประจำตัวเพียงครั้งเดียวให้กลายเป็นการเปิดเผยในวงกว้างทั้งระบบนิเวศได้ การโจมตี LiteLLM เป็นเครื่องเตือนใจที่ชัดเจนว่าในห่วงโซ่อุปทานซอฟต์แวร์สมัยใหม่ เครื่องมือที่คุณไว้วางใจให้ค้นหาช่องโหว่กลับกลายเป็นช่องโหว่เสียเอง