CloudSEK Liga March LiteLLM Supply Chain Breach a 2.500 Organizações

A empresa de inteligência de ameaças CloudSEK disse em um relatório publicado em 11 de agosto de 2026 que identificou mais de 2.500 organizações potencialmente expostas pela comprometida cadeia de suprimentos de LiteLLM em março de 2026, e reconstruiu cerca de 434.000 pipelines de CI/CD afetados pela exposição.

Os números vêm de um relatório de pesquisa da CloudSEK construído em um conjunto de dados de vítimas que a empresa diz que sua equipe de inteligência de ameaças obteve sobre a campanha de março. O conjunto de dados da CloudSEK contém correspondências de alta confiança vinculadas a domínios corporativos, repositórios, credenciais ou infraestrutura pertencentes a organizações, incluindo NVIDIA, Samsung Electronics, Cisco Systems, Siemens, S&P Global, ServiceNow, Deloitte, Vodafone, X Corp, Zscaler, FedEx, Volkswagen, Thales e London Stock Exchange Group. A empresa é explícita sobre o que as correspondências significam: alta confiança descreve a força da evidência que liga as informações expostas a uma organização, não a prova de que a organização foi violada ou que um atacante usou o que foi tirado.

O incidente no centro da pesquisa começou em 24 de março de 2026, quando um grupo rastreado como TeamPCP publicou versões maliciosas de LiteLLM 1.82.7 e 1.82.8 no Python Package Index. As versões com backdoor estiveram ao vivo por cerca de 40 minutos antes de serem removidas. Essa janela foi suficiente: pipelines de CI/CD instalam dependências automaticamente e geralmente são executados com privilégios amplos, então um pacote envenenado se propaga por sistemas de build corporativos à velocidade da máquina sem que nenhum desenvolvedor o revise.

Como um Token Vazado Alcançou 434.000 Pipelines

LiteLLM nunca foi atacado diretamente. A cadeia documentada no relatório da CloudSEK começa um passo acima, com Trivy, um scanner de segurança de código aberto amplamente utilizado. Um token de automação vazado associado ao scanner foi girado, mas não totalmente revogado, deixando uma janela de cerca de 20 dias em que os atacantes forçaram o push de código malicioso sobre as tags de versão publicadas do scanner. Como a própria pipeline de build do LiteLLM instalou Trivy sem pinar o gerenciador de pacotes do sistema, o scanner comprometido fluía diretamente para a build, e a build envenenada produziu e publicou as versões maliciosas 1.82.7 e 1.82.8 no PyPI. Um token não revogado, três ferramentas profundas.

O design da carga útil fez com que a janela curta contasse. A versão 1.82.8 dropou um arquivo malicioso .pth no ambiente Python, e arquivos .pth são executados sempre que o interpretador Python é iniciado, independentemente de LiteLLM ser importado ou não. Isso contorna completamente as proteções de script de instalação. Em runners comprometidos, o ladrão de credenciais que o FBI chama de SANDCLOCK escalou para root e varreu chaves SSH, credenciais AWS, Google Cloud e Azure, tokens de conta de serviço do Kubernetes, arquivos de ambiente e segredos de CI/CD, raspando valores da memória do processo que as ferramentas normalmente tentam mascarar. As chaves de nuvem vieram diretamente do serviço de metadados de instância, usando o acesso que o runner já tinha, em vez de qualquer exploit. Para builds de IA específicas, a colheita incluiu chaves de API LLM e configuração de gateway: as credenciais para a pilha de IA de uma organização.

Dados roubados foram criptografados com uma chave codificada e exfiltrados para um domínio typosquatted. Onde a exfiltração falhou, o malware criou um repositório público dentro da conta do GitHub da vítima e carregou o material roubado como um ativo de lançamento, significando que algumas organizações estavam publicando seus próprios segredos em vista clara.

Por que o Risco Sobreviveu ao Pacote

Remover as versões maliciosas do PyPI não fechou o incidente. Qualquer credencial copiada enquanto o pacote envenenado estava ativo permanece válida até que o proprietário a gire ou revogue, e a remoção do pacote não faz nada por si só. O FBI fez o mesmo ponto em um comunicado de 2 de julho de 2026 sobre TeamPCP, alertando que as organizações atingidas pela campanha devem tratar os dados e credenciais exfiltrados como um risco persistente, pois atores afiliados provavelmente os usarão muito depois da intrusão inicial.

O comunicado confirma o escopo da campanha além de LiteLLM: TeamPCP trojanizou Trivy, o scanner KICS da Checkmarx, LiteLLM e o SDK Python da Telnyx, ferramentas incorporadas em pipelines de empresa, infraestrutura de nuvem e fluxos de trabalho de segurança, e combinou as intrusões com extorsão, publicando nomes de vítimas em um site de vazamento público e ameaçando divulgar dados roubados.

As mitigações recomendadas pelo FBI coincidem quase exatamente com o que a cadeia de LiteLLM explorou: prender ações do GitHub a hashes de commit verificados em vez de tags de versão flutuantes, girar todos os segredos de CI/CD e tokens de publicação acessíveis durante a janela de exposição, impor escopos de privilégio mínimo em contas de serviço e tokens de registro, e procurar organizações do GitHub por repositórios nomeados tpcp-docs ou docs-tpcp, que o malware cria com credenciais roubadas.

O que os Rótulos de Confiança Significam

A CloudSEK classifica as organizações em seu conjunto de dados pela força da evidência. Uma correspondência de alta confiança se baseia em domínios corporativos, repositórios, credenciais ou infraestrutura identificáveis; uma correspondência de confiança média carrega indicadores credíveis, mas mais fracos. Nenhum rótulo é evidência de um ataque bem-sucedido, e a empresa enfatiza que o conjunto de dados é exposição reconstruída: aparecer nele significa que as informações associadas à organização foram identificadas e devem ser investigadas, não que uma violação seja confirmada.

Alguma cautela sobre a escala é justificada. Os números de 2.500 organizações e 434.000 pipelines vêm de um conjunto de dados que a CloudSEK obteve por meio de seus canais de inteligência e reconstruiu, e a empresa vende a plataforma de monitoramento de exposição, AIVigil, que essa pesquisa aponta. Nada disso subtrai a campanha subjacente: a violação de LiteLLM, seu lugar na operação mais ampla da TeamPCP e as classes de credenciais em risco são corroboradas pelo comunicado do FBI e pelo registro de incidentes de março.

A CloudSEK publicou um verificador de exposição gratuito onde as organizações podem ver se sua infraestrutura aparece no conjunto de dados. Sua orientação para qualquer correspondência é tratar todas as credenciais que o processo afetado poderia ler como potencialmente expostas até serem validadas, revisar logs de acesso em sistemas de nuvem, controle de fonte, registro e cluster, e girar amplamente em vez de apenas a chave LiteLLM ou a chave do provedor de modelo. Para as organizações que executaram as versões afetadas em março, a decisão de rotação tem um relógio de cinco meses já em execução.