CloudSEK Συνδέει την Εισβολή του Μαρτίου στο LiteLLM με 2.500 Οργανισμούς

Η εταιρεία threat-intelligence CloudSEK ανέφερε σε μια έκθεση που δημοσιεύθηκε στις 11 Αυγούστου 2026 ότι έχει αναγνωρίσει περισσότερους από 2.500 οργανισμούς που ενδέχεται να έχουν εκτεθεί από την εισβολή της αλυσίδας εφοδιασμού του LiteLLM τον Μάρτιο του 2026, και έχει ανακατασκευάσει περίπου 434.000 CI/CD pipelines που επηρεάστηκαν από την εκθεση.

Τα στοιχεία αυτά προέρχονται από μια έρευνα της CloudSEK που βασίζεται σε ένα σύνολο δεδομένων θυμάτων που η εταιρεία λέει ότι έχει αποκτήσει από την εκστρατεία του Μαρτίου. Το σύνολο δεδομένων της CloudSEK περιλαμβάνει υψηλής πιστοποίησης συνδέσεις που συνδέουν τις εκτεθειμένες πληροφορίες με εταιρικά domains, αποθήκες, διαπιστευτήρια ή υποδομή που ανήκουν σε οργανισμούς όπως η NVIDIA, η Samsung Electronics, η Cisco Systems, η Siemens, η S&P Global, η ServiceNow, η Deloitte, η Vodafone, η X Corp, η Zscaler, η FedEx, η Volkswagen, η Thales και η London Stock Exchange Group. Η εταιρεία είναι σαφής σχετικά με το τι σημαίνουν αυτές οι συνδέσεις: η υψηλή πιστοποίηση περιγράφει τη δύναμη των αποδείξεων που συνδέουν τις εκτεθειμένες πληροφορίες με έναν οργανισμό, όχι την απόδειξη ότι ο οργανισμός έχει υποστεί εισβολή ή ότι ένας επιτιθέμενος έχει χρησιμοποιήσει τα στοιχεία που έχουν ληφθεί.

Το περιστατικό στο κέντρο της έρευνας ξεκίνησε στις 24 Μαρτίου 2026, όταν μια ομάδα που παρακολουθείται ως TeamPCP δημοσίευσε κακόβουλα LiteLLM εκδόσεις 1.82.7 και 1.82.8 στο Python Package Index. Οι διαβρωμένες εκδόσεις ήταν ενεργές για περίπου 40 λεπτά πριν αφαιρεθούν. Αυτό το παράθυρο ήταν αρκετό: οι CI/CD pipelines εγκαθιστούν εξαρτήσεις αυτόματα και συχνά εκτελούνται με ευρείες εξουσίες, οπότε μια δηλητηριασμένη συσκευασία εξαπλώνεται μέσω των εταιρικών συστημάτων κατασκευής με μηχανική ταχύτητα χωρίς κανένα developer να την επανεξετάζει.

Πώς Ένας Διαρρεύσας Κωδικός Φτάνει σε 434.000 Pipelines

Το LiteLLM δεν είχε επιτεθεί απευθείας. Η αλυσίδα που τεκμηριώνεται στην έκθεση της CloudSEK ξεκινά ένα βήμα ανώτερα, με το Trivy, einen ευρέως χρησιμοποιούμενο ανοιχτό κώδικα σαρωτή ασφαλείας. Ένας διαρρεύσας αυτοματοποιημένος κωδικός που σχετίζεται με τον σαρωτή είχε περιστραφεί αλλά δεν είχε ανακληθεί πλήρως, αφήνοντας ένα παράθυρο περίπου 20 ημερών στο οποίο οι επιτιθέμενοι force-pushed κακόβουλο κώδικα μέσω των εκδόσεων του σαρωτή. Επειδή η LiteLLM είχε εγκαταστήσει το Trivy χωρίς να είναι συνδεδεμένο με τον διαχειριστή συσκευασίας του συστήματος, ο διεφθαρμένος σαρωτής ρέει κατευθείαν στη διαδικασία κατασκευής, και η δηλητηριασμένη διαδικασία κατασκευής παρήγαγε και δημοσίευσε τις κακόβουλες εκδόσεις 1.82.7 και 1.82.8 στο PyPI. Ένας μη ανακληθείς κωδικός, τρία εργαλεία βαθιά.

Η σχεδίαση του payload έκανε το σύντομο παράθυρο να μετράει. Η έκδοση 1.82.8 έριξε ένα κακόβουλο αρχείο .pth στο περιβάλλον Python, και τα αρχεία .pth εκτελούνται κάθε φορά που ξεκινά ο διερμηνέας Python, ανεξάρτητα από το αν το LiteLLM έχει εισαχθεί. Αυτό παρακάμπτει完全 τις προστασίες των script εγκατάστασης. Σε διαβρωμένους runners, ο κλέφτης διαπιστευτηρίων που ονομάζεται SANDCLOCK από το FBI ανέβηκε στο root και σκούπισε τα κλειδιά SSH, τα διαπιστευτήρια AWS, Google Cloud και Azure, τα tokens υπηρεσιών Kubernetes, τα αρχεία περιβάλλοντος και τα μυστικά CI/CD, σκουπίζοντας τιμές από τη μνήμη διαδικασίας που το εργαλείο προσπαθεί να μασκαρεύσει. Τα κλειδιά cloud ήρθαν κατευθείαν από την υπηρεσία μεταδεδομένων της παρουσίας, χρησιμοποιώντας την πρόσβαση που ήδη είχε ο runner αντί για οποιαδήποτε εκμετάλλευση. Για τις κατασκευές AI συγκεκριμένα, η λεία περιελάμβανε κλειδιά API LLM και ρυθμίσεις πυλικού: τα διαπιστευτήρια για ολόκληρη την πυλίδα AI ενός οργανισμού.

Τα κλεμμένα δεδομένα κρυπτογραφήθηκαν με ένα σκληρό-κωδικοποιημένο κλειδί και εξατμίστηκαν σε ένα τυποποιημένο domain. Όπου η εξαγωγή απέτυχε, το κακόβουλο λογισμικό δημιούργησε ένα δημόσιο αποθετήριο μέσα στο δικό του λογαριασμό GitHub του θύματος και ανέβασε το κλεμμένο υλικό εκεί ως asset έκδοσης, που σημαίνει ότι ορισμένοι οργανισμοί δημοσίευαν τα δικά τους μυστικά σε πλήρη θέα.

Γιατί ο Κίνδυνος Υπερέβη το Πακέτο

Η αφαίρεση των κακόβουλων εκδόσεων από το PyPI δεν έκλεισε το περιστατικό. Κάθε διαπιστευτήριο που αντιγράφηκε ενώ το δηλητηριασμένο πακέτο ήταν ενεργό παραμένει έγκυρο μέχρι ο ιδιοκτήτης το περιστρέψει ή το ανακαλέσει, και η αφαίρεση του πακέτου δεν κάνει τίποτα από μόνη της. Το FBI έκανε το ίδιο σημείο σε μια FLASH προειδοποίηση της 2ας Ιουλίου 2026 για την TeamPCP, προειδοποιώντας ότι οι οργανισμοί που επηρεάστηκαν από την εκστρατεία πρέπει να θεωρήσουν τα εξαγόμενα δεδομένα και διαπιστευτήρια ως einen διαρκή κίνδυνο επειδή οι συνδεδεμένοι ηθοποιοί είναι πιθανό να χρησιμοποιήσουν αυτά τα στοιχεία για πολύ καιρό μετά την αρχική εισβολή.

Η προειδοποίηση επιβεβαιώνει το πεδίο της εκστρατείας πέρα από το LiteLLM: η TeamPCP trojanized το Trivy, το σαρωτή KICS της Checkmarx, το LiteLLM και το Python SDK της Telnyx, εργαλεία που είναι ενσωματωμένα σε εταιρικές pipelines, υποδομή cloud και ροές ασφαλείας, και ζεύγωσε τις εισβολές με εκβιασμό, δημοσιεύοντας ονόματα θυμάτων σε ένα δημόσιο site διαρροών και απειλώντας να δημοσιεύσει κλεμμένα δεδομένα.

Οι προτεινόμενες μετριαστικές λύσεις του FBI συμπίπτουν σχεδόν απόλυτα με αυτό που η αλυσίδα του LiteLLM εκμεταλλεύτηκε: pin GitHub Actions σε επικυρωμένα hashes commit αντί για πλωτά tags έκδοσης, περιστρέψτε κάθε CI/CD μυστικό και token δημοσίευσης που ήταν προσβάσιμο κατά το παράθυρο έκθεσης, επιβάλετε least-privilege scoping σε λογαριασμούς υπηρεσιών και tokens καταχωρητή, και αναζητήστε οργανισμούς GitHub για αποθετήρια με ονόματα tpcp-docs ή docs-tpcp, τα οποία το κακόβουλο λογισμικό δημιουργεί με κλεμμένα διαπιστευτήρια.

Τι Σημαίνουν οι Ετικέτες Πιστοποίησης

Η CloudSEK ταξινομεί τους οργανισμούς στο σύνολο δεδομένων της με βάση τη δύναμη των αποδείξεων. Μια υψηλής πιστοποίησης σύνδεση βασίζεται σε αναγνωρίσιμους εταιρικούς domains, αποθήκες, διαπιστευτήρια ή υποδομή. Μια μέτριας πιστοποίησης σύνδεση φέρει πιστότατες αλλά ασθενέστερες ενδείξεις. Κανένα από αυτά τα labels δεν είναι απόδειξη μιας επιτυχημένης επίθεσης, και η εταιρεία τονίζει ότι το σύνολο δεδομένων είναι ανακατασκευασμένη έκθεση: η εμφάνιση σε αυτό σημαίνει ότι πληροφορίες που σχετίζονται με τον οργανισμό έχουν αναγνωριστεί και πρέπει να ερευνetai, όχι ότι μια εισβολή έχει επιβεβαιωθεί.

Ορισμένες προφυλάξεις σχετικά με την κλίμακα είναι δικαιολογημένες. Τα στοιχεία των 2.500 οργανισμών και 434.000 pipelines προέρχονται από ένα σύνολο δεδομένων που η CloudSEK απέκτησε μέσω των καναλιών της και ανακατασκεύασε, και η εταιρεία πουλάει την πλατφόρμα παρακολούθησης έκθεσης AIVigil, στην οποία αυτή η έρευνα αποδείχνει. Κανένα από αυτά δεν υποκρούει την εκστρατεία κάτω από αυτό: η εισβολή του LiteLLM, η θέση της στην ευρύτερη επιχείρηση της TeamPCP και οι κλάσεις διαπιστευτηρίων που κινδυνεύουν επιβεβαιώνονται από την προειδοποίηση του FBI και από το αρχείο περιστατικού του Μαρτίου.

Η CloudSEK έχει δημοσιεύσει einen δωρεάν έλεγχο έκθεσης όπου οι οργανισμοί μπορούν να δουν αν η υποδομή τους εμφανίζεται στο σύνολο δεδομένων. Η οδηγία της για οποιαδήποτε σύνδεση είναι να θεωρήσουν κάθε διαπιστευτήριο που η επηρεασμένη διαδικασία θα μπορούσε να διαβάσει ως πιθανώς εκτεθειμένο μέχρι να επικυρωθεί, να αναθεωρήσουν τα αρχεία πρόσβασης σε cloud, source-control, registry και cluster συστήματα, και να περιστρέψουν ευρέως αντί να περιστρέψουν μόνο το LiteLLM ή το κλειδί του παρόχου μοντέλου. Για τους οργανισμούς που έτρεξαν τις επηρεασμένες εκδόσεις τον Μάρτιο, η απόφαση περιστροφής έχει ένα ρολόι πέντε μηνών που ήδη τρέχει.