Thought Leadership
In PyPI eingeschleuste LiteLLM-Versionen stahlen Zugangsdaten und Tokens. CloudSEK identifiziert potenzielle Betroffene der TeamPCP-Kampagne.
In der Paketverwaltung PyPI wurden Ende März 2026 zwei kompromittierte Versionen der Open-Source-Software LiteLLM (1.82.7 und 1.82.8) veröffentlicht. LiteLLM dient als KI-Gateway zur Anbindung verschiedener Sprachmodelle. Die manipulierten Pakete waren für rund 40 Minuten aktiv, bevor PyPI sie unter Quarantäne stellte. Über eine Datei namens litellm_init.pth wurde der Schadcode automatisch bei jedem Start eines Python-Prozesses ausgeführt – unabhängig davon, ob die Bibliothek im jeweiligen Skript explizit importiert wurde.
Die Schadsoftware las gezielt Umgebungsvariablen aus, darunter API-Schlüssel für Sprachmodelle wie OPENAI_API_KEY und ANTHROPIC_API_KEY, SSH-Schlüssel, Kubernetes-Tokens, Wolken-Zugangsdaten und Datenbankpasswörter. Die abgefangenen Daten wurden anschließend verschlüsselt an die von den Angreifern kontrollierte Domain models.litellm[.]cloud übertragen.
Ausmaß der TeamPCP-Kampagne auf LiteLLM und Zuordnung
Das Sicherheitsunternehmen CloudSEK analysierte einen Datensatz aus rund 434.000 abgefangenen Log- und Beutedateien. Die Forscher ordneten die Daten über 2.500 Organisationen zu, darunter Unternehmen wie NVIDIA, Cisco, Deloitte, Volkswagen, FedEx und Siemens. Die Zuordnung erfolgte anhand von Identitätssignalen aus CI/CD-Pipelines wie Host-IDs und Entwickler-Domains.
Der Vorfall ist Teil einer umfassenderen Lieferketten-Kampagne der Angreifergruppe TeamPCP (von Google als UNC6780 nachverfolgt), die unter der Kennung CVE-2026-33634 geführt wird. Im Rahmen dieser Welle wurden auch Releases der Sicherheitssoftware Trivy kompromittiert. Das FBI warnte in einer Sicherheitsmitteilung davor, dass entwendete Zugangsdaten von den Tätern noch lange nach dem eigentlichen Einbruch missbraucht werden können.
Bestätigte Folgeschäden und empfohlene Schutzmaßnahmen
Die praktischen Auswirkungen des Angriffs wurden von mehreren betroffenen Organisationen bestätigt. Bei Checkmarx führten die entwendeten Zugangsdaten zu unbefugten Zugriffen auf GitHub-Repositories. Zudem stellte CERT-EU fest, dass über den Angriff auf die Trivy-Lieferkette rund 91,7 GB komprimierte Daten aus einem AWS-Konto der Europäischen Kommission abgeflossen sind.
Sicherheitsexperten und Ermittlungsbehörden raten betroffenen Teams zu folgenden Schritten:
- Überprüfung von Systemen auf Installationen von LiteLLM 1.82.7 oder 1.82.8 im Zeitfenster vom 24. März 2026 (10:39 bis 16:00 UTC)
- Konsequenter Austausch aller Zugangsdaten, API-Schlüssel, SSH-Schlüssel und Veröffentlichungstokens, die von den betroffenen Systemen erreichbar waren
- Durchsuchen der eigenen GitHub-Organisationen nach verdächtigen Repositories mit Namenspräfixen wie tpcp-docs oder docs-tpcp, die von der Malware zur Datenausleitung angelegt wurden
(red)
