Serangan Rantaian Bekalan LiteLLM: Bagaimana TeamPCP Menyimpan Infrastruktur AI di Pintu Belakang

Atribusi: TeamPCP

Aktor ancaman di sebalik kempen ini dikesan sebagai TeamPCP, juga dikenali sebagai PCPcat, Persy_PCP, ShellForce dan DeadCatx3.

Ciri-ciri yang diketahui:

• Mengekalkan saluran Telegram di @Persy_PCP dan @teampcp di mana mereka mengejek syarikat keselamatan
• Beroperasi merentasi pelbagai ekosistem (GitHub Actions, PyPI, npm, OpenVSX)
• Menggunakan domain typosquat khusus vendor untuk setiap fasa kempen (cth., checkmarx.zone untuk Checkmarx, models.litellm.cloud untuk litellm)
• Penanda infrastruktur yang konsisten: pasangan kunci RSA yang sama, tpcp.tar.gz konvensyen penamaan, tpcp-docs-* Repositori GitHub digunakan sebagai pementasan dead-drop
• Menyasarkan alat keselamatan sebagai titik masuk ke rantaian bekalan hiliran

Keyakinan atribusi: Tinggi. Kunci awam RSA yang dikongsi, tpcp Penamaan artifak, pertindihan infrastruktur C2 dan tempo operasi merentasi kempen lima hari sangat menghubungkan kompromi Trivy, KICS, npm, OpenVSX dan litellm dengan pelakon yang sama.

MotivasiKemungkinan kewangan (kecurian dompet kripto, pengewangan kelayakan awan) digabungkan dengan kemasyhuran (ejekan Telegram). Keluasan penuaian kelayakan — daripada pasangan kekunci pengesah Solana IAM AWS kepada konfigurasi WireGuard — menunjukkan pelaku yang bermotivasi dari segi kewangan yang ingin memaksimumkan ROI daripada setiap kompromi.

Bantuan AI yang mungkinPenuai kelayakan adalah komprehensif secara sistematik — 15+ kategori termasuk sasaran khusus seperti kunci tandatangan Cardano, konfigurasi WireGuard dan kelayakan Kaniko Docker — dengan cara yang konsisten dengan penghitungan bantuan AI. Kelajuan lelaran muatan (tiga varian dengan skema penyulitan berbeza), koordinasi rentas ekosistem (5 ekosistem dalam 5 hari) dan OPSEC operasi (domain penyamar vendor, penyulitan hibrid, kegigihan sistem yang menyamar sebagai telemetri) mencadangkan tahap daya pemprosesan yang mungkin mencerminkan pembangunan bantuan AI sebagai pengganda daya. Penilaian ini adalah spekulatif; pengendali mahir boleh mencapai skop yang serupa tanpa perkakasan AI.

TTP dan Teknik Baharu

1. Keracunan Rantaian Bekalan Alat Keselamatan (varian T1195.002)

Mengkompromi pengimbas keselamatan (Trivy, KICS) sebagai langkah pertama untuk mencapai sasaran hiliran merupakan satu peningkatan baharu. Penyerang bukan sahaja menjejaskan perpustakaan — mereka menjejaskan alatan yang digunakan oleh organisasi untuk mengesan perpustakaan yang dikompromi. Ini mewujudkan titik buta: pengimbas yang sepatutnya menangkap kod berniat jahat itu sendiri merupakan mekanisme penyampaian.

2. Python .pth Kegigihan Fail (T1546)

. litellm_init.pth teknik dalam v1.82.8 amat berbahaya. Python .pth gambar dalam site-packages/ diproses pada setiap permulaan penterjemah; sebarang baris yang bermula dengan import dilaksanakan sebagai kod. Dengan merantai muatan ke satu import pernyataan, penyerang mencapai pelaksanaan pada setiap proses Python — bukan sahaja apabila litellm diimport. Ini bermakna muatan akan diaktifkan walaupun litellm dipasang tetapi tidak pernah digunakan, dan ia terselamat daripada pemulihan yang menggantikan yang dikompromikan .py fail tanpa menyemak .pth fail.

3. Pergerakan Lateral Seluruh Kluster Kubernetes melalui Pelaksanaan Pod Istimewa (T1610, T1611)

Penciptaan pod istimewa secara automatik pada setiap nod kluster — dengan hostPID, hostNetwork, pemasangan sistem fail hos dan chroot untuk memasang persistence — rantai penggunaan kontena (T1610) dengan escape ke host (T1611) untuk menukar beban kerja yang dikompromikan menjadi kompromi kluster penuh.

4. Infrastruktur C2 yang Menyamar sebagai Vendor

Menggunakan models.litellm.cloud (meniru litellm) dan checkmarx.zone (meniru Checkmarx) kerana titik akhir C2/exfil direka untuk mengelak pemantauan rangkaian. Penganalisis SOC yang menyemak trafik keluar akan melihat sambungan HTTPS ke domain vendor yang kelihatan sah.

5. Pengulangan Muatan Dalam Penerbangan yang Pantas

Menerbitkan v1.82.7 dengan pelaksanaan masa import, kemudian v1.82.8 dengan pelaksanaan masa permulaan 13 minit kemudian, menunjukkan penyerang memantau dan menyesuaikan diri dalam masa nyata. Varian muatan yang diulas (dengan skema penyulitan berbeza) yang dikekalkan dalam kod sumber mengesahkan pembangunan aktif semasa operasi.

Apa Boleh Selesai

Serangan ini mengeksploitasi kepercayaan pada setiap lapisan: kepercayaan pada alat keselamatan, kepercayaan pada pendaftaran pakej, kepercayaan pada domain yang kelihatan biasa, kepercayaan pada CI/CD automasi. Mempertahankan diri daripadanya memerlukan pengerasan setiap sempadan kepercayaan ini:

Untuk Pengguna Pakej

• Kebergantungan pin mengikut hash, bukan hanya versi. pip install litellm==1.82.6 --hash=sha256:... akan menghalang versi yang dikompromi daripada dipasang walaupun ia muncul sebentar sebagai versi terkini.
• Gunakan fail kunci. pip-compile, poetry.lock, dan uv.lock menangkap versi dan hash yang tepat. CI/CD harus dipasang daripada fail kunci, bukan daripada penentu versi terapung.
• Pantau untuk .pth fail. Audit secara berkala site-packages/ untuk tidak dijangka .pth fail — ia dilaksanakan pada setiap permulaan Python dan merupakan mekanisme kegigihan yang kurang dihargai.
• Laksanakan kawalan rangkaian keluar. Penyusupan keluar ke models.litellm.cloud dan tinjauan C2 kepada checkmarx.zone mungkin telah dikesan oleh penapisan keluar berasaskan senarai dibenarkan dalam persekitaran pengeluaran.

Untuk Penyelenggara Pakej

• Pin CI/CD tindakan oleh commit SHA, bukan tag. LiteLLM's pipeline menggunakan Trivy tanpa versi yang disematkan. Jika ia telah dirujuk aquasecurity/trivy-action@<commit-sha> bukan @latest, tindakan yang dikompromikan itu tidak akan dilaksanakan.
• Gunakan token penerbitan berskop yang tahan lama dan terhad. PyPI menyokong token API Penerbit Dipercayai (berasaskan OIDC) dan berskop. PYPI_PUBLISH token tidak sepatutnya mempunyai akses penerbitan yang berpanjangan dan tidak terhad.
• Dayakan pengesahan dua faktor pada PyPI. Memerlukan 2FA untuk semua penyelenggara dan menggunakan kunci keselamatan perkakasan jika boleh.
• Pakej tandatangan. Pengesahan Sigstore/PEP 740 membolehkan pengguna mengesahkan bahawa pakej telah dibina mengikut jangkaan CI/CD pipeline, bukan oleh penyerang dengan token yang dicuri.

Untuk Pengendali Platform (PyPI, npm, GitHub)

• Mengesan corak penerbitan yang anomali. Dua versi baharu yang diterbitkan dengan jarak 13 minit, daripada IP atau token yang berbeza daripada biasa, sepatutnya mencetuskan penangguhan untuk semakan atau pengimbasan automatik sebelum pakej boleh dipasang.
• Mempercepatkan penggunaan Penerbit Dipercayai. Penerbitan berasaskan OIDC menghubungkan pakej dengan repositori dan aliran kerja tertentu, menjadikan token yang dicuri tidak berguna di luar yang asal CI/CD konteks.
• Laksanakan pengimbasan perisian hasad masa penerbitan. Muatan yang dinyahkod base64 dalam proxy_server.py akan dapat dikesan melalui analisis statik pada masa penerbitan.

Untuk Ekosistem

• Anggap alat keselamatan sebagai infrastruktur kritikal. Trivy dan Checkmarx KICS digunakan oleh berjuta-juta pipelines. Tindakan GitHub mereka harus ditandatangani, disematkan dan dipantau dengan ketelitian yang sama seperti pakej yang mereka imbas.
• Melabur dalam pengesanan masa jalan. Analisis statik sahaja tidak dapat menangkap setiap teknik pengeliruan. Pemantauan masa jalan pemasangan pakej hooks, sambungan rangkaian yang tidak dijangka dan corak akses fail yang mencurigakan memberikan pertahanan yang mendalam.
• Kongsikan risikan ancaman dengan lebih pantas. Tempoh pendedahan 5.5 jam untuk litellm boleh menjadi lebih pendek dengan penyelarasan silang vendor yang lebih pantas. Perkhidmatan pengimbasan automatik seperti Xygeni MEW, Socket dan Snyk mengesan anomali tersebut — kesesakan tersebut adalah pengesahan manusia dan masa tindak balas pendaftaran.

Kesimpulan

Kempen TeamPCP merupakan detik penting bagi software supply chain securityDengan mengkompromikan pengimbas keselamatan terlebih dahulu dan menggunakannya sebagai batu loncatan kepada infrastruktur AI bernilai tinggi, penyerang menunjukkan bahawa rantaian bekalan hanya sekuat kebergantungan transitifnya yang paling lemah, dan kebergantungan itu mungkin merupakan alat keselamatan yang anda percayai untuk memastikan anda selamat.

Kompromi litellm secara khusus menonjolkan risiko yang semakin meningkat terhadap infrastruktur AI. Memandangkan gerbang proksi LLM menjadi standard corak untuk enterprise Dalam penggunaan AI, mereka menumpukan akses kepada kunci API, kelayakan awan dan data sensitif dalam satu komponen. Mengorbankan komponen tersebut merupakan kunci rangka kepada keseluruhan susunan AI.

Organisasi yang memasang litellm 1.82.7 atau 1.82.8 semasa tempoh 5.5 jam harus menganggap ini sebagai kompromi kelayakan penuh: putar semua rahsia pada sistem yang terjejas, audit kluster Kubernetes untuk node-setup-* pod dalam kube-system, keluarkan mana-mana sysmon.service unit sistem, dan semak untuk litellm_init.pth dalam Python site-packages/ direktori. Pengguna imej Docker rasmi (ghcr.io/berriai/litellm) tidak terjejas, kerana imej tersebut telah menyematkan kebergantungannya dan tidak dibina semula semasa tetingkap pendedahan.