Serangan Rantai Pasokan LiteLLM: Bagaimana TeamPCP Menyusup ke Infrastruktur AI

Sumber: TeamPCP

Pelaku ancaman di balik kampanye ini dilacak sebagai... Tim PCP, juga dikenal sebagai PCPcat, Persy_PCP, ShellForce, dan DeadCatx3.

Karakteristik yang diketahui:

• Mengelola saluran Telegram di @Persy_PCP ke @teampcp di mana mereka mengejek perusahaan keamanan
• Beroperasi di berbagai ekosistem (GitHub Actions, PyPI, npm, OpenVSX)
• Menggunakan domain typosquat khusus vendor untuk setiap fase kampanye (misalnya, checkmarx.zone untuk Checkmarx, models.litellm.cloud untuk litellm)
• Penanda infrastruktur yang konsisten: pasangan kunci RSA yang sama, tpcp.tar.gz konvensi penamaan, tpcp-docs-* Repositori GitHub yang digunakan sebagai tempat penyimpanan barang titipan (dead-drop).
• Menargetkan alat keamanan sebagai titik masuk ke rantai pasokan hilir.

Kepercayaan atribusiTinggi. Kunci publik RSA bersama, tpcp Penamaan artefak, tumpang tindih infrastruktur C2, dan tempo operasional selama kampanye lima hari tersebut sangat mengaitkan kompromi Trivy, KICS, npm, OpenVSX, dan litellm dengan aktor yang sama.

MotivasiKemungkinan motifnya finansial (pencurian dompet kripto, monetisasi kredensial cloud) dikombinasikan dengan upaya mendapatkan reputasi buruk (ejekan melalui Telegram). Luasnya cakupan pencurian kredensial — mulai dari AWS IAM hingga pasangan kunci validator Solana hingga konfigurasi WireGuard — menunjukkan pelaku yang termotivasi secara finansial dan berupaya memaksimalkan ROI dari setiap pelanggaran.

Kemungkinan bantuan AIPengumpul kredensial ini komprehensif secara sistematis — lebih dari 15 kategori termasuk target khusus seperti kunci penandatanganan Cardano, konfigurasi WireGuard, dan kredensial Docker Kaniko — dengan cara yang konsisten dengan enumerasi yang dibantu AI. Kecepatan iterasi muatan (tiga varian dengan skema enkripsi berbeda), koordinasi lintas ekosistem (5 ekosistem dalam 5 hari), dan OPSEC operasional (domain peniru vendor, enkripsi hibrida, persistensi systemd yang disamarkan sebagai telemetri) menunjukkan tingkat throughput yang mungkin mencerminkan pengembangan yang dibantu AI sebagai pengali kekuatan. Penilaian ini bersifat spekulatif; operator yang terampil dapat mencapai cakupan serupa tanpa alat AI.

TTP dan Teknik Baru

1. Keracunan Rantai Pasokan Alat Keamanan (varian T1195.002)

Mengkompromikan pemindai keamanan (Trivy, KICS) sebagai langkah pertama untuk mencapai target hilir merupakan eskalasi baru. Penyerang tidak hanya mengkompromikan sebuah pustaka—mereka mengkompromikan alat-alat yang digunakan organisasi untuk menemukan perpustakaan yang telah disusupi. Hal ini menciptakan titik buta: pemindai yang seharusnya mendeteksi kode berbahaya itu sendiri adalah mekanisme penyebarannya.

2 Python .pth Ketahanan File (T1546)

The litellm_init.pth Teknik pada versi 1.82.8 sangat berbahaya. Python .pth file dalam site-packages/ diproses pada setiap kali interpreter dimulai; setiap baris yang diawali dengan import dieksekusi sebagai kode. Dengan menghubungkan muatan (payload) ke satu import Berdasarkan pernyataan tersebut, penyerang mencapai eksekusi pada setiap proses Python — bukan hanya saat litellm diimpor. Ini berarti muatan berbahaya akan aktif bahkan jika litellm terinstal tetapi tidak pernah digunakan, dan akan tetap ada meskipun dilakukan perbaikan yang mengganti sistem yang telah disusupi. .py file tanpa memeriksa .pth file.

3. Pergerakan Lateral di Seluruh Klaster Kubernetes melalui Penyebaran Pod Istimewa (T1610, T1611)

Pembuatan pod istimewa secara otomatis di setiap node klaster — dengan hostPID, hostNetwork, pemasangan sistem file host, dan chroot untuk memasang persistensi — rantai penyebaran kontainer (T1610) dengan pelarian ke host (T1611) untuk mengubah satu beban kerja yang dikompromikan menjadi kompromi klaster penuh.

4. Infrastruktur C2 yang Menyamar sebagai Vendor

Menggunakan models.litellm.cloud (meniru litellm) dan checkmarx.zone (Meniru Checkmarx) sebagai titik akhir C2/eksfiltrasi dirancang untuk menghindari pemantauan jaringan. Analis SOC yang meninjau lalu lintas keluar akan melihat koneksi HTTPS ke domain vendor yang tampak sah.

5. Iterasi Muatan Cepat Selama Penerbangan

Penerbitan versi 1.82.7 dengan eksekusi pada saat impor, kemudian versi 1.82.8 dengan eksekusi pada saat startup 13 menit kemudian, menunjukkan penyerang memantau dan beradaptasi secara real-time. Varian payload yang dikomentari (dengan skema enkripsi yang berbeda) yang tersimpan dalam kode sumber mengkonfirmasi pengembangan aktif selama operasi tersebut.

Apa yang bisa dilakukan

Serangan ini mengeksploitasi kepercayaan di setiap lapisan: kepercayaan pada alat keamanan, kepercayaan pada registri paket, kepercayaan pada domain yang tampak familiar, kepercayaan pada CI/CD otomatisasi. Untuk melawannya, diperlukan penguatan setiap batasan kepercayaan ini:

Untuk Konsumen Paket

• Tetapkan dependensi berdasarkan hash, bukan hanya versi. pip install litellm==1.82.6 --hash=sha256:... Hal itu akan mencegah versi yang telah disusupi terpasang, bahkan jika versi tersebut sempat muncul sebagai versi terbaru.
• Gunakan file kunci. pip-compile, poetry.lock, dan uv.lock catat versi dan hash yang tepat. CI/CD Seharusnya diinstal dari file lock, bukan dari penentu versi mengambang.
• Monitor untuk .pth file. Audit secara teratur site-packages/ untuk tak terduga .pth File-file ini dieksekusi setiap kali Python dimulai dan merupakan mekanisme persistensi yang kurang dihargai.
• Terapkan kontrol jaringan keluar. Eksfiltrasi ke models.litellm.cloud dan jajak pendapat C2 untuk checkmarx.zone bisa saja terdeteksi oleh penyaringan keluar berbasis daftar izin (allowlist) di lingkungan produksi.

Untuk Pengelola Paket

• pin CI/CD tindakan oleh commit SHA, bukan tag. LiteLLM pipeline menggunakan Trivy tanpa versi yang disematkan. Jika itu merujuk pada aquasecurity/trivy-action@<commit-sha> alih-alih @latest, tindakan yang dikompromikan tersebut tidak akan dieksekusi.
• Gunakan token penerbitan berumur pendek dan terbatas ruang lingkupnya. PyPI mendukung Penerbit Tepercaya (berbasis OIDC) dan token API yang terlingkup. Data yang dieksfiltrasi PYPI_PUBLISH Token tersebut seharusnya tidak memiliki akses penerbitan yang berlaku lama dan tidak terbatas.
• Aktifkan otentikasi dua faktor di PyPI. Wajibkan otentikasi dua faktor (2FA) untuk semua petugas pemeliharaan dan gunakan kunci keamanan perangkat keras jika memungkinkan.
• Menandatangani paket. Pengesahan Sigstore/PEP 740 memungkinkan konsumen untuk memverifikasi bahwa sebuah paket dibuat oleh pihak yang diharapkan. CI/CD pipeline, bukan oleh penyerang dengan token curian.

Untuk Operator Platform (PyPI, npm, GitHub)

• Mendeteksi pola penerbitan yang anomali. Dua versi baru yang diterbitkan dengan selang waktu 13 menit, dari IP atau token yang berbeda dari biasanya, akan memicu penangguhan untuk peninjauan atau pemindaian otomatis sebelum paket tersebut dapat diinstal.
• Mempercepat adopsi Penerbit Tepercaya. Penerbitan berbasis OIDC mengaitkan paket dengan repositori dan alur kerja tertentu, sehingga token curian menjadi tidak berguna di luar repositori aslinya. CI/CD konteks.
• Terapkan pemindaian malware pada saat publikasi. Muatan yang telah didekode base64 dalam proxy_server.py akan dapat dideteksi melalui analisis statis pada saat publikasi.

Untuk Ekosistem

• Perlakukan alat keamanan sebagai infrastruktur penting. Trivy dan Checkmarx KICS digunakan oleh jutaan orang. pipelineGitHub Actions mereka harus ditandatangani, disematkan, dan dipantau dengan ketelitian yang sama seperti paket yang mereka pindai.
• Berinvestasi dalam deteksi saat runtime. Analisis statis saja tidak dapat mendeteksi setiap teknik pengaburan. Pemantauan runtime instalasi paket. hooks, koneksi jaringan yang tidak terduga, dan pola akses file yang mencurigakan memberikan pertahanan berlapis.
• Bagikan informasi intelijen ancaman dengan lebih cepat. Jendela paparan 5.5 jam untuk litellm bisa lebih pendek jika koordinasi antar vendor lebih cepat. Layanan pemindaian otomatis seperti Xygeni MEW, Socket, dan Snyk mendeteksi anomali tersebut — hambatannya adalah konfirmasi manusia dan waktu respons registri.

Kesimpulan

Kampanye TeamPCP merupakan momen penting bagi software supply chain securityDengan meretas pemindai keamanan terlebih dahulu dan menggunakannya sebagai batu loncatan menuju infrastruktur AI bernilai tinggi, para penyerang menunjukkan bahwa rantai pasokan hanya sekuat ketergantungan transisi terlemahnya, dan ketergantungan itu mungkin adalah alat keamanan yang Anda percayai untuk menjaga Anda tetap aman.

Kompromi litellm secara khusus menyoroti meningkatnya risiko terhadap infrastruktur AI. Karena gateway proxy LLM menjadi semakin penting... standard pola untuk enterprise Dalam penerapan AI, mereka memusatkan akses ke kunci API, kredensial cloud, dan data sensitif dalam satu komponen. Membobol komponen tersebut sama saja dengan membuka kunci utama untuk seluruh tumpukan AI.

Organisasi yang memasang litellm 1.82.7 atau 1.82.8 selama jendela waktu 5.5 jam harus menganggap ini sebagai pelanggaran kredensial penuh: rotasi semua rahasia pada sistem yang terpengaruh, audit klaster Kubernetes untuk node-setup-* polong di dalam kube-system, hapus apa pun sysmon.service unit systemd, dan periksa litellm_init.pth dengan Python site-packages/ direktori. Pengguna citra Docker resmi (ghcr.io/berriai/litellm) tidak terpengaruh, karena gambar tersebut mengunci dependensinya dan tidak dibangun ulang selama jendela eksposur.