Атака на LiteLLM: як TeamPCP через отруєний Trivy викрав дані 2500+ компаній

Ось повний масштаб та хронологія атаки на ланцюжок постачання LiteLLM у березні 2026 року, зібрані з офіційних заяв, звітів розвідки загроз та незалежних аналізів.

Хронологія атаки

• 19 березня 2026 року – TeamPCP першими скомпрометували Trivy, популярний сканер вразливостей з відкритим кодом від Aqua Security, впровадивши шкідливий код в одну з його залежностей .
• 24 березня 2026 року, ~10:39 UTC – Версія LiteLLM 1.82.7 була опублікована на PyPI з пайплайну збірки, який сліпо довіряв отруєному сканеру Trivy під час CI/CD-сканування безпеки .
• 24 березня 2026 року, ~10:39–11:19 UTC – Версія 1.82.8 також була опублікована. Шкідливі пакунки містили код, який викрадав хмарні облікові дані, SSH-ключі, конфігурації Kubernetes, паролі до баз даних, API-ключі та інші секрети на віддалений сервер TeamPCP .
• 24 березня 2026 року, ~11:19 UTC – PyPI заблокував проєкт LiteLLM (приблизно через 40 хвилин після першої публікації), але команда LiteLLM рекомендувала вважати підозрілими всі встановлення до 16:00 UTC того ж дня . Пакунки були завантажені понад 119 000 разів протягом приблизно 2,5 годин .

Як працювала атака

TeamPCP використала каскадну компрометацію ланцюжка постачання: спочатку вони отруїли Trivy (сканер безпеки з відкритим кодом), після чого CI/CD-пайплайн LiteLLM — який використовував скомпрометовану залежність Trivy у власному скануванні безпеки збірки — був інфікований під час процесу збірки, надавши хакерам облікові дані для публікації на PyPI . Це дозволило TeamPCP публікувати шкідливі релізи безпосередньо на PyPI, минаючи звичайний процес релізів LiteLLM через GitHub . Один з аналізів зазначив, що атака "походила від залежності Trivy, яка використовувалася в робочому процесі сканування безпеки CI/CD" .

Масштаб витоку даних

• Hudson Rock незалежно отримала та проаналізувала архів хакерів: 153 ГБ, що містять 433 909 файлів та 118 829 дампів CI/CD-раннерів, прив'язаних до 2 488 корпоративних доменів .
• CloudSEK реконструювала приблизно 434 000 захоплених файлів CI/CD-пайплайнів та виявила понад 2 500 потенційно постраждалих організацій .
• FBI випустило термінове попередження (FLASH-20260702-01) 2 липня 2026 року, попереджаючи про пов'язані атаки з використанням викрадених даних .

Постраждалі організації

Серед постраждалих доменів — великі підприємства з технологічного, фінансового, промислового та телекомунікаційного секторів. Підтверджені назви компаній з кількох джерел включають: Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens та BT Group . Hudson Rock зазначила, що архів містив облікові дані, які залишалися "все ще дійсними" для багатьох із цих організацій через місяці після інциденту .

Тестування Кевіна Бомонта після інциденту

Після публікації звіту Ars Technica про витік, Кевін Бомонт незалежно протестував скомпрометовані облікові дані великої американської технологічної компанії, яка стверджувала, що "все обернула". Використовуючи політику відповідального розкриття, він перевірив дані та виявив, що "майже кожен з них працював" — тобто організація насправді не змінила свої скомпрометовані секрети, попри свої заяви .

Термінова рекомендація

Вважайте всі секрети, API-ключі, хмарні облікові дані, SSH-ключі, конфігурації Kubernetes та будь-які інші чутливі дані, які були доступні версіям LiteLLM 1.82.7 або 1.82.8, повністю скомпрометованими. Негайна зміна кожного облікового запису, який міг бути підданий ризику під час вікна 24 березня 2026 року, є критично необхідною — незалежно від того, чи вважає організація, що вже обернула їх . Ця атака вважається найбільшим витоком у ланцюжку постачання ШІ-інфраструктури у 2026 році, і викрадені дані залишаються постійною загрозою для подальших вторгнень, як продемонструвало тестування облікових даних Бомонтом .