TeamPCP використовувала викрадені облікові дані для публікації на PyPI, щоб надсилати ці релізи безпосередньо на PyPI, минаючи звичайний процес релізу LiteLLM через GitHub . У той же проміжок часу група також здійснила інші шкідливі дії: зіпсувала 15 репозиторіїв організацій, видалила 182 особистих репозиторії та зробила 70 приватних репозиторіїв BerriAI (материнської компанії LiteLLM) публічними .

Як працювала атака: каскадна компрометація ланцюга постачання

Ця атака є класичним прикладом каскадної компрометації ланцюга постачання. TeamPCP не атакувала LiteLLM безпосередньо. Натомість хакери використали ланцюжок довіри:

1. Перша компрометація: Trivy – 19 березня TeamPCP отримала доступ до пайплайну GitHub Actions для Trivy, використовуючи облікові дані, які були замінені, але не повністю відкликані . Вони опублікували шкідливі релізи Trivy, які впроваджували шкідливе навантаження для крадіжки облікових даних на будь-якому CI/CD-ранері, де встановлювався скомпрометований сканер.
2. Друга компрометація: LiteLLM – Власний CI/CD-пайплайн LiteLLM автоматично встановлював сканер вразливостей Trivy як крок перевірки безпеки. Коли пайплайн запустився 24 березня, він завантажив отруєну версію Trivy. Шкідливе навантаження всередині Trivy зібрало дані з оточення CI-ранера, витягнувши токени для публікації на PyPI та облікові дані GitHub LiteLLM .
3. Третя компрометація: користувачі PyPI – Озброївшись обліковими даними LiteLLM для PyPI, TeamPCP опублікувала шкідливі релізи LiteLLM на PyPI. Будь-який розробник або організація, які виконали pip install litellm==1.82.7 або 1.82.8, або чий CI/CD-пайплайн автоматично завантажив останню версію, мали своє середовище збірки вичищене від секретів.

Як зазначили в CloudSEK, "атака походила від залежності Trivy, яка використовувалася в робочому процесі сканування безпеки CI/CD LiteLLM" . Для самого зламу LiteLLM немає CVE, оскільки нічого у власному коді LiteLLM не було вразливим; вразливість полягала у довірчих відносинах між пайплайном збірки LiteLLM та його інструментом сканування безпеки .

Масштаб витоку даних

Повний масштаб крадіжки даних став зрозумілим лише через п'ять місяців, коли кілька фірм з кіберрозвідки опублікували свої аналізи:

• Hudson Rock незалежно отримала та проаналізувала сирий архів викрадених даних: файл RAR об'ємом 153 ГБ, що містив рівно 433 909 файлів та 118 829 дампів CI-ранерів, які були прив'язані до 2 488 корпоративних доменів .
• CloudSEK реконструювала приблизно 434 000 перехоплених файлів CI/CD-пайплайнів та ідентифікувала понад 2500 потенційно постраждалих організацій . CloudSEK описала цей інцидент як найбільшу атаку на ланцюг постачання, спрямовану на ШІ-інфраструктуру, виявлену у 2026 році .
• Серед скомпрометованих даних були облікові дані хмарних платформ (AWS, GCP, Azure), API-ключі ШІ-провайдерів (OpenAI, Anthropic, Cohere тощо), приватні SSH-ключі, токени сервісних акаунтів Kubernetes, логіни реєстрів Docker, файли .env, рядки підключення до баз даних, секрети підпису Slack, клієнтські секрети Salesforce та облікові дані Git .

ФБР випустило термінове попередження 2 липня 2026 року (FLASH-20260702-01), попереджаючи, що пов'язані зловмисники, ймовірно, використають облікові дані, викрадені під час кампанії TeamPCP, ще довго після початкової компрометації. Вона рекомендувала організаціям замінити CI/CD-секрети, токени публікації та хмарні облікові дані, які були доступні протягом відповідних вікон вразливості .

Постраждалі організації

Серед постраждалих доменів були великі підприємства з технологічного, фінансового, промислового та телекомунікаційного секторів. Підтверджені названі організації з кількох джерел включають :

• Технології: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (колишній Twitter), Zscaler, Roku, Epic Games
• Промисловість: Volkswagen, Siemens, FedEx
• Фінанси: S&P Global, Deloitte
• Телекомунікації: BT Group, Vodafone

Набір даних CloudSEK містив "збіги з високим ступенем достовірності", прив'язані до корпоративних доменів, репозиторіїв, облікових даних або інфраструктури, що належать цим організаціям . Hudson Rock зазначила, що архів містив облікові дані, які "досі були дійсними" для багатьох із цих організацій через місяці після інциденту .

Післяінцидентне тестування Кевіна Бомона

Через п'ять місяців після зламу незалежний дослідник безпеки Кевін Бомон провів критичну перевірку реальності. Після публікації звіту Ars Technica про злам Бомон протестував скомпрометовані облікові дані великої американської технологічної компанії, яка публічно заявила, що "замінила все". Використовуючи політику відповідального розкриття інформації, він перевірив облікові дані та виявив, що "майже кожен з них працював" — тобто організація насправді не замінила свої скомпрометовані секрети, незважаючи на заяви про інше .

Цей висновок підкреслює критичний урок: заяви про заміну облікових даних і фактична заміна облікових даних — часто різні речі, і викрадені облікові дані з цієї атаки залишаються реальною загрозою.

Термінова рекомендація

Ставтеся до всіх секретів, API-ключів, хмарних облікових даних, SSH-ключів, конфігурацій Kubernetes та будь-яких інших чутливих даних, які були доступні версіям LiteLLM 1.82.7 або 1.82.8, як до повністю скомпрометованих. Негайна заміна кожного облікового даного, яке могло бути скомпрометоване протягом вікна 24 березня 2026 року, є обов'язковою — незалежно від того, чи вважає організація, що вже їх замінила .

Ця атака вважається найбільшим зламом ланцюга постачання ШІ-інфраструктури у 2026 році, а викрадені дані залишаються постійною загрозою для подальших вторгнень, як продемонструвало тестування облікових даних Бомона . ФБР попередило, що подальші цілеспрямовані атаки є ймовірними, а скарбниця дійсних облікових даних в архіві об'ємом 153 ГБ є подарунком, який продовжує дарувати, для зловмисників.

Якщо ваша організація використовувала LiteLLM у будь-якій якості 24 березня 2026 року, вважайте, що стався злам. Перевірте наявність шкідливого файлу .pth (litellm_init.pth) та бекдору наполегливості (~/.config/sysmon/sysmon.py), переконайтеся у версії за допомогою pip show litellm та замініть кожен обліковий даний, який був доступний на постраждалому хості — хмарні ключі, API-ключі ШІ-провайдерів, токени Kubernetes, SSH-ключі та CI/CD-токени .

TeamPCP використовувала викрадені облікові дані для публікації на PyPI, щоб надсилати ці релізи безпосередньо на PyPI, минаючи звичайний процес релізу LiteLLM через GitHub . У той же проміжок часу група також здійснила інші шкідливі дії: зіпсувала 15 репозиторіїв організацій, видалила 182 особистих репозиторії та зробила 70 приватних репозиторіїв BerriAI (материнської компанії LiteLLM) публічними .

Як працювала атака: каскадна компрометація ланцюга постачання

Ця атака є класичним прикладом каскадної компрометації ланцюга постачання. TeamPCP не атакувала LiteLLM безпосередньо. Натомість хакери використали ланцюжок довіри:

1. Перша компрометація: Trivy – 19 березня TeamPCP отримала доступ до пайплайну GitHub Actions для Trivy, використовуючи облікові дані, які були замінені, але не повністю відкликані . Вони опублікували шкідливі релізи Trivy, які впроваджували шкідливе навантаження для крадіжки облікових даних на будь-якому CI/CD-ранері, де встановлювався скомпрометований сканер.
2. Друга компрометація: LiteLLM – Власний CI/CD-пайплайн LiteLLM автоматично встановлював сканер вразливостей Trivy як крок перевірки безпеки. Коли пайплайн запустився 24 березня, він завантажив отруєну версію Trivy. Шкідливе навантаження всередині Trivy зібрало дані з оточення CI-ранера, витягнувши токени для публікації на PyPI та облікові дані GitHub LiteLLM .
3. Третя компрометація: користувачі PyPI – Озброївшись обліковими даними LiteLLM для PyPI, TeamPCP опублікувала шкідливі релізи LiteLLM на PyPI. Будь-який розробник або організація, які виконали pip install litellm==1.82.7 або 1.82.8, або чий CI/CD-пайплайн автоматично завантажив останню версію, мали своє середовище збірки вичищене від секретів.

Як зазначили в CloudSEK, "атака походила від залежності Trivy, яка використовувалася в робочому процесі сканування безпеки CI/CD LiteLLM" . Для самого зламу LiteLLM немає CVE, оскільки нічого у власному коді LiteLLM не було вразливим; вразливість полягала у довірчих відносинах між пайплайном збірки LiteLLM та його інструментом сканування безпеки .

Масштаб витоку даних

Повний масштаб крадіжки даних став зрозумілим лише через п'ять місяців, коли кілька фірм з кіберрозвідки опублікували свої аналізи:

• Hudson Rock незалежно отримала та проаналізувала сирий архів викрадених даних: файл RAR об'ємом 153 ГБ, що містив рівно 433 909 файлів та 118 829 дампів CI-ранерів, які були прив'язані до 2 488 корпоративних доменів .
• CloudSEK реконструювала приблизно 434 000 перехоплених файлів CI/CD-пайплайнів та ідентифікувала понад 2500 потенційно постраждалих організацій . CloudSEK описала цей інцидент як найбільшу атаку на ланцюг постачання, спрямовану на ШІ-інфраструктуру, виявлену у 2026 році .
• Серед скомпрометованих даних були облікові дані хмарних платформ (AWS, GCP, Azure), API-ключі ШІ-провайдерів (OpenAI, Anthropic, Cohere тощо), приватні SSH-ключі, токени сервісних акаунтів Kubernetes, логіни реєстрів Docker, файли .env, рядки підключення до баз даних, секрети підпису Slack, клієнтські секрети Salesforce та облікові дані Git .

ФБР випустило термінове попередження 2 липня 2026 року (FLASH-20260702-01), попереджаючи, що пов'язані зловмисники, ймовірно, використають облікові дані, викрадені під час кампанії TeamPCP, ще довго після початкової компрометації. Вона рекомендувала організаціям замінити CI/CD-секрети, токени публікації та хмарні облікові дані, які були доступні протягом відповідних вікон вразливості .

Постраждалі організації

Серед постраждалих доменів були великі підприємства з технологічного, фінансового, промислового та телекомунікаційного секторів. Підтверджені названі організації з кількох джерел включають :

• Технології: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (колишній Twitter), Zscaler, Roku, Epic Games
• Промисловість: Volkswagen, Siemens, FedEx
• Фінанси: S&P Global, Deloitte
• Телекомунікації: BT Group, Vodafone

Набір даних CloudSEK містив "збіги з високим ступенем достовірності", прив'язані до корпоративних доменів, репозиторіїв, облікових даних або інфраструктури, що належать цим організаціям . Hudson Rock зазначила, що архів містив облікові дані, які "досі були дійсними" для багатьох із цих організацій через місяці після інциденту .

Післяінцидентне тестування Кевіна Бомона

Через п'ять місяців після зламу незалежний дослідник безпеки Кевін Бомон провів критичну перевірку реальності. Після публікації звіту Ars Technica про злам Бомон протестував скомпрометовані облікові дані великої американської технологічної компанії, яка публічно заявила, що "замінила все". Використовуючи політику відповідального розкриття інформації, він перевірив облікові дані та виявив, що "майже кожен з них працював" — тобто організація насправді не замінила свої скомпрометовані секрети, незважаючи на заяви про інше .

Цей висновок підкреслює критичний урок: заяви про заміну облікових даних і фактична заміна облікових даних — часто різні речі, і викрадені облікові дані з цієї атаки залишаються реальною загрозою.

Термінова рекомендація

Ставтеся до всіх секретів, API-ключів, хмарних облікових даних, SSH-ключів, конфігурацій Kubernetes та будь-яких інших чутливих даних, які були доступні версіям LiteLLM 1.82.7 або 1.82.8, як до повністю скомпрометованих. Негайна заміна кожного облікового даного, яке могло бути скомпрометоване протягом вікна 24 березня 2026 року, є обов'язковою — незалежно від того, чи вважає організація, що вже їх замінила .

Ця атака вважається найбільшим зламом ланцюга постачання ШІ-інфраструктури у 2026 році, а викрадені дані залишаються постійною загрозою для подальших вторгнень, як продемонструвало тестування облікових даних Бомона . ФБР попередило, що подальші цілеспрямовані атаки є ймовірними, а скарбниця дійсних облікових даних в архіві об'ємом 153 ГБ є подарунком, який продовжує дарувати, для зловмисників.

Якщо ваша організація використовувала LiteLLM у будь-якій якості 24 березня 2026 року, вважайте, що стався злам. Перевірте наявність шкідливого файлу .pth (litellm_init.pth) та бекдору наполегливості (~/.config/sysmon/sysmon.py), переконайтеся у версії за допомогою pip show litellm та замініть кожен обліковий даний, який був доступний на постраждалому хості — хмарні ключі, API-ключі ШІ-провайдерів, токени Kubernetes, SSH-ключі та CI/CD-токени .