LiteLLM Tedarik Zinciri Saldırısı: 2.500+ Şirket Tehdit Altında, Sırlar Hâlâ Döndürülmedi
TeamPCP'nin Mart 2026'daki kademeli saldırısı LiteLLM'i hedef aldı; yalnızca 40 dakika içinde 2.500'den fazla kuruluş ve 434.000 CI/CD hattı potansiyel olarak ifşa oldu. Saldırı, güvenlik tarama aracı Trivy'nin ele geçirilmesiyle başladı; çalınan yayınlama token'ları sırasıyla KICS ve LiteLLM'in PyPI'ye kötü amaçlı...
TeamPCP'nin Mart 2026'daki kademeli saldırısı LiteLLM'i hedef aldı; yalnızca 40 dakika içinde 2.500'den fazla kuruluş ve 434.000 CI/CD hattı potansiyel olarak ifşa oldu.
Saldırı, güvenlik tarama aracı Trivy'nin ele geçirilmesiyle başladı; çalınan yayınlama token'ları sırasıyla KICS ve LiteLLM'in PyPI'ye kötü amaçlı sürümler yüklemesine olanak tanıdı.
153 GB'lık arşiv henüz kamuya sızdırılmadı, bu da kuruluşlara anahtarlarını değiştirmeleri için kritik bir pencere sağlıyor.
What was the scope and impact of the March 2026 LiteLLM supply chain attack, including how TeamPCP carried out the breach, which organizatioThe LiteLLM supply chain attack demonstrated how compromising one security tool can cascade into a breach affecting thousands of organizations.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the scope and impact of the March 2026 LiteLLM supply chain attack, including how TeamPCP carried out the breach, which organizatio. Article summary: Here is a comprehensive answer based on the latest threat-intelligence findings from CloudSEK, Hudson Rock, the Cloud Security Alliance, Trend Micro, and others.. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make i
openai.com
Mart 2026'da, tehdit grubu TeamPCP, bir güvenlik tarayıcısıyla başlayıp Python ekosisteminin en popüler açık kaynaklı AI proxy paketlerinden biri olan LiteLLM'in ele geçirilmesiyle sonuçlanan kademeli bir tedarik zinciri saldırısı gerçekleştirdi. Bu ihlal, 2.500'den fazla kuruluşu potansiyel olarak ifşa etti, 434.000'den fazla CI/CD hattını tehlikeye attı ve 153 GB'lık bir arşivde433.909 dosya kimlik bilgisini çaldı . İşte olanlar, kimlerin etkilendiği ve tehlikenin neden henüz bitmediği.
TeamPCP Beş Günlük Kaskadı Nasıl Gerçekleştirdi?
TeamPCP (PCPcat, ShellForce ve DeadCatx3 olarak da bilinir), 2025'in ortalarından beri aktif olan, finansal motivasyonlu bir siber suç grubudur . Mart 2026'daki kampanyaları, kademeli bir mimari ile dikkat çekiyordu: bir kurbandan çalınan CI/CD kimlik bilgileri, bir sonraki hedefe erişim vektörü haline geliyordu . Kaskad beş günde gerçekleşti:
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "LiteLLM Tedarik Zinciri Saldırısı: 2.500+ Şirket Tehdit Altında, Sırlar Hâlâ Döndürülmedi"?
TeamPCP'nin Mart 2026'daki kademeli saldırısı LiteLLM'i hedef aldı; yalnızca 40 dakika içinde 2.500'den fazla kuruluş ve 434.000 CI/CD hattı potansiyel olarak ifşa oldu.
What are the key points to validate first?
TeamPCP'nin Mart 2026'daki kademeli saldırısı LiteLLM'i hedef aldı; yalnızca 40 dakika içinde 2.500'den fazla kuruluş ve 434.000 CI/CD hattı potansiyel olarak ifşa oldu. Saldırı, güvenlik tarama aracı Trivy'nin ele geçirilmesiyle başladı; çalınan yayınlama token'ları sırasıyla KICS ve LiteLLM'in PyPI'ye kötü amaçlı sürümler yüklemesine olanak tanıdı.
What should I do next in practice?
153 GB'lık arşiv henüz kamuya sızdırılmadı, bu da kuruluşlara anahtarlarını değiştirmeleri için kritik bir pencere sağlıyor.
TeamPCP, Aqua Security'nin altyapısına ilk erişimi, bir "PwnRequest" açığı olan pull_request_target iş akışı yanlış yapılandırmasını kullanarak elde etti . aqua-bot hizmet hesabı için yeni döndürülmüş bir kişisel erişim token'ını ele geçirdiler ve kötü amaçlı commit'leri işaret etmek için sürüm etiketlerini zorla ittiler. 77 trivy-action etiketinden 76'sı ve 7 setup-trivy etiketinin tamamı ele geçirildi. Bu ilk ihlal CVE-2026-33634 (CVSS 9.8 Kritik) olarak izleniyor .
2. Gün: KICS (23 Mart)
Trivy kurbanlarından çalınan token'ları kullanan TeamPCP, Checkmarx'in cx-plugins-releases hizmet hesabı olarak kimlik doğrulaması yaptı ve kötü amaçlı KICS sürümlerini yayınladı .
3. Gün: LiteLLM (24 Mart)
LiteLLM'in derleme hattı, güvenliği ihlal edilmiş Trivy tarayıcısını otomatik olarak kurdu ve kötü amaçlı yazılıma çalıştırıcı ortamına okuma erişimi verdi. TeamPCP, LiteLLM'in PyPI yayınlama token'larını çaldı ve PyPI'ye iki kötü amaçlı sürüm yayınladı — sürüm 1.82.7 ve 1.82.8. Kötü amaçlı paketler, keşfedilmeden önce yalnızca yaklaşık 40 dakika boyunca canlı kaldı .
Yük (Payload)
LiteLLM kötü amaçlı yazılımı üç aşamalı bir yük dağıttı :
50'den fazla sır kategorisini hedef alan bir kimlik bilgisi toplayıcı
Root'a yükselen ve ayrıcalıklı pod'lar dağıtan bir Kubernetes yanal hareket araç seti
Uzaktan kod yürütme için kalıcı bir arka kapı
Kötü amaçlı yazılım, her Python yorumlayıcısı başlatıldığında otomatik olarak yürütülmek üzere .pth dosya enjeksiyonu kullandı; bu, açık bir içe aktarma gerektirmediği için tespit edilmesini özellikle zorlaştırdı . Google tarafından SANDCLOCK olarak izlenen yük, ele geçirilen çalıştırıcılarda SSH anahtarlarını, AWS/GCP/Azure kimlik bilgilerini, Kubernetes hizmet hesabı token'larını ve veritabanı parolalarını taradı .
Etkilenen Kuruluşlar
Kaynak
Rakam
CloudSEK (yeniden yapılandırılmış maruziyet)
Potansiyel olarak 2.500'den fazla kuruluş
CloudSEK (CI/CD hatları)
~434.000 hat işlemi etkilendi
Hudson Rock (atfedilen CI çalıştırıcı dökümleri)
2.488 kurumsal alan adından118.829 döküm
Arşiv boyutu
153 GB, 433.909 dosya
Birden fazla tehdit istihbarat firması tarafından tanımlanan isimli kurbanlar şunları içeriyor :
Teknoloji: Nvidia, AWS, Samsung, Salesforce, Cisco, ServiceNow, Microsoft, HP, NGINX, Zscaler, TomTom Kurumsal: Siemens, Volkswagen, FedEx, S&P Global, John Deere, Epic Games, Deloitte, Accenture Federal Services Telekom/Medya: Orange, BT Group, SiriusXM/AdsWizz Diğer: London Stock Exchange Group, Regeneron Pharmaceuticals, Deutsche Bahn
Avrupa Komisyonu da ilk Trivy ihlali yoluyla ihlal edildi ve AWS yönetim kimlik bilgilerinin sızdırılmasına ve 42 dahili müşteri ile 29 ek AB kuruluşunu etkileyen yaklaşık ~340 GB sıkıştırılmamış verinin çalınmasına yol açtı .
Kimlik Bilgisi Maruziyetinin Boyutu
Çalınan veri türleri şunları içeriyor :
Bulut IAM anahtarları (AWS, GCP, Azure)
SSH anahtarları ve Kubernetes sırları
Veritabanı parolaları ve Salesforce istemci sırları
Slack imzalama sırları ve ortam değişkenleri
AI sağlayıcı API anahtarları (OpenAI, Anthropic, AWS Bedrock, Google Vertex AI)
FBI, 2 Temmuz 2026'da bir FLASH danışma yayınladı ve kampanyadan etkilenen kuruluşların, sızdırılan verileri ve kimlik bilgilerini kalıcı bir risk olarak ele almaları gerektiği konusunda uyardı çünkü bağlantılı aktörlerin bunları silah haline getirmesi muhtemel .
Döndürülmemiş Sırlardan Kaynaklanan Devam Eden Risk
İhlalin ciddiyetine rağmen, risk birkaç nedenden ötürü çok uzak:
Arşiv Henüz Sızdırılmadı
Arşivi elde edip analiz eden Hudson Rock, 153 GB'lık veri setinin henüz geniş çapta dolaşımda olmadığını bildiriyor — buna "kuruluşların anahtarları sızmadan önce döndürmeleri için kritik bir fırsat penceresi" diyor .
Birçok Kuruluş Anahtarları Döndürmedi
Güvenlik araştırmacısı Kevin Beaumont, her şeyi döndürdüğünü iddia eden bir kuruluşun kimlik bilgilerini test etti. Bulgusu: "Neredeyse her biri çalıştı" .
Tanımlanamayan Kimlik Bilgileri
Dökülen dosyaların büyük bir kısmı, sahibi olan kuruluşu tanımlayacak herhangi bir şirket e-postası, özel alan adı veya dahili sunucu adı olmadan veritabanı parolaları, API anahtarları ve bulut kimlik bilgileri içeriyor. Bu kuruluşlar etkilendiklerini bilemezler.
Maruziyet ve Onaylanmış İhlal
2.500+ rakamı, her kuruluş için onaylanmış bir ihlali değil, yeniden yapılandırılmış maruziyeti yansıtıyor. CloudSEK, listelenen her kuruluşun bağımsız olarak doğrulama yapması gerektiğini vurguluyor . Ancak veri seti artık birden fazla tehdit istihbarat firmasının elinde ve bir ihlalin doğal döngüsü, daha geniş bir dolaşımın beklenmesi anlamına geliyor.
Kuruluşlar İçin Önemli Çıkarımlar
Aşağıdaki özelliklere sahip herhangi bir kuruluş:
LiteLLM sürüm 1.82.7 veya 1.82.8'i çalıştırdıysa
Bu sürümleri tüketen CI/CD hatlarına sahipse
19-24 Mart 2026 tarihleri arasında güvenliği ihlal edilmiş Trivy tarayıcısını kullandıysa
...bu ortama erişilebilen tüm sırları güvenliği ihlal edilmiş olarak ele almalı ve belirgin bir ihlal tespit edilmemiş olsa bile hemen döndürmelidir . FBI'ın FLASH danışma belgesi bunu pekiştiriyor: sızdırılan kimlik bilgilerini kalıcı bir risk olarak ele alın çünkü bağlantılı aktörlerin bunları silah haline getirmesi muhtemel .
TeamPCP, üç araç derinliğindeki iptal edilmemiş bir token'ın tek bir kimlik bilgisi sızıntısını ekosistem çapında maruziyete dönüştürebileceğini gösterdi. LiteLLM saldırısı, modern yazılım tedarik zincirlerinde, güvenlik açıklarını bulmaya güvendiğiniz aracın kendisinin güvenlik açığı haline gelebileceğinin çarpıcı bir hatırlatıcısıdır.
