Компрометация LiteLLM привела к утечке терабайтов учетных данных
ИБ-компании CloudSEK и Hudson Rock раскрыли новые детали масштабной атаки на цепочку поставок, которая затронула LiteLLM весной 2026 года. Всего за 40 минут, пока вредоносные версии популярного инструмента распространялись через PyPI, атакующие успели похитить секреты из 434 000 CI/CD-пайплайнов. По данным исследователей, среди пострадавших оказались крупнейшие технологические и промышленные компании мира.
Напомним, что эта история началась еще в начале марта 2026 года, когда участники группировки TeamPCP скомпрометировали расширение Aqua Trivy для VS Code и получили учетные данные с правами записи. Хотя разработчики Aqua Security обнаружили взлом и провели ротацию секретов, она оказалась неполной, поэтому атакующие сохранили доступ.
В результате 19 марта хакеры подменили почти все теги GitHub Actions Trivy и опубликовали зараженный релиз сканера Trivy. Встроенный в него инфостилер собирал секреты прямо из памяти CI-раннеров (токены GitHub и npm, SSH-ключи, облачные учетные данные и другую чувствительную информацию). Затем эти секреты использовались хакерами для новых атак, и компрометация быстро распространилась на Docker Hub, GitHub Actions компании Checkmarx, npm-экосистему и другие проекты.
Одним из звеньев этой цепочки атак стал LiteLLM: злоумышленники добрались до репозиториев проекта и опубликовали в PyPI вредоносные версии 1.82.7 и 1.82.8. Встроенная в LiteLLM малварь похищала секреты из окружения и памяти CI/CD-раннеров зараженных систем и отправляла собранные данные атакующим. Уже через несколько дней исследователи предупреждали более чем о 1000 скомпрометированных SaaS-средах, свыше 10 000 затронутых CI/CD-воркфлоу и примерно 300 Гбайт данных, украденных с 500 000 машин.
Как стало известно теперь, реальные последствия компрометации LiteLLM оказались серьезнее прежних оценок. По информации CloudSEK, произошедшая из-за атаки утечка затронула облачные ключи, токены репозиториев, SSH-ключи, секреты Kubernetes, учетные данные для публикации пакетов, переменные окружения и ключи ИИ-провайдеров. Исследователи полагают, что эти данные потенциально открывают доступ к инфраструктуре более чем 2500 организаций.
В числе компаний, чьи секреты с высокой вероятностью были скомпрометированы, специалисты перечисляют Nvidia, AWS, Samsung, Salesforce, Cisco, Siemens, Philips, Airbus, FedEx, Volkswagen, John Deere, Deloitte, X, Zscaler, NGINX, Vodafone, Liebherr и многие другие (полный список доступен здесь). При этом точно установить владельцев всех учетных данных не представляется возможным, так как CI/CD-пайплайны часто используют общие переменные, в которых не фигурируют корпоративные домены или другие явные идентификаторы.
В свою очередь аналитики Hudson Rock пишут, что обнаружили утечку при анализе массива данных объемом 195 Тбайт. Источник этого дампа исследователи не раскрывают.
Независимый ИБ-исследователь Кевин Бомонт (Kevin Beaumont) подтвердил подлинность скомпрометированных данных на примере сразу нескольких пострадавших организаций. По его словам, этот масштабный инцидент стал результатом слабой защиты DevOps-инфраструктуры и стремления компаний как можно быстрее интегрировать ИИ в свои процессы разработки.
Хуже того, часть украденных в марте учетных данных, похоже, остается рабочей до сих пор. Так, после публикации отчета одна технологическая компания сообщила Бомонту, что давно сменила все секреты и проблема уже неактуальна. Однако исследователь решил проверить учетные данные и обнаружил, что почти все якобы измененные секреты по-прежнему работают. Бомонт подчеркивает, что это была «одна из крупнейших американских технологических компаний».
Теперь исследователи рекомендуют всем, кто использовал LiteLLM 1.82.7 и 1.82.8, считать скомпрометированными любые секреты, доступные из окружения LiteLLM. В частности, необходимо отозвать и заменить облачные ключи, токены сервисных аккаунтов Kubernetes, GitHub и GitLab PAT, а также внимательно проверить логи и исходящий трафик.
