LiteLLMに関わるサプライチェーン侵害は、短時間だけ存在した悪意あるパッケージが、クラウド環境、CI/CDシステム、ソースコードリポジトリ、Kubernetesクラスタ、パッケージレジストリ、AIサービスにまたがる長期的なリスクをいかに生み出すかを浮き彫りにしています。
CloudSEKによると、2026年3月に発生したこのキャンペーンはTeam PCPと関連付けられており、PyPI上のLiteLLMのバージョン1.82.7および1.82.8が侵害を受けたリリースとして関与していたとされています。
これらのパッケージが公開されていたのは約40分間だったと報告されていますが、悪意あるパッケージが削除された後も窃取された認証情報が有効なままである可能性があるため、実際の影響範囲はそれよりもはるかに長期に及ぶ恐れがあります。
同社が再構築した被害データセットには、2,500以上の組織と、約434,000件の潜在的に露出したCI/CDパイプラインが含まれています。
ただし、このデータセットに含まれていることをもって侵害の証拠と見なすべきではありません。あくまで、対象の組織が影響を受けたパッケージ、パイプライン、または認証情報の経路にさらされていた可能性を示すものであり、各組織は自らの環境を非公開で検証する必要があります。
CloudSEKは、組織レベルでの露出が高確度で一致した企業として、複数の大手企業を挙げています。この「高確度」という分類は、あくまで一致の強さを示すものであり、悪意あるコードの実行、認証情報の窃取、攻撃者による活動が確認されたことを意味するものではありません。
各組織は、実際にインシデントが発生したかどうかを判断する前に、ログ、パイプラインの履歴、パッケージのダウンロード履歴、認証情報の使用状況を調査する必要があります。
このリスクは、影響を受けたプロセスが保持する権限に由来します。
開発者のワークステーションやCIランナーには、クラウドの認証情報、GitHubやGitLabのトークン、SSHキー、Kubernetesのサービスアカウントトークン、環境変数、レジストリの認証情報、データベース接続情報、LLM APIキーなどが含まれている場合があります。
マルウェアがこれらの情報にアクセスできれば、攻撃者は当初侵害されたPythonパッケージの範囲をはるかに超えて活動を広げる可能性があります。
提供されたインシデントの詳細によると、このキャンペーンは信頼されているセキュリティツールの侵害から始まったとされています。ローテーションされたものの完全には失効していなかった自動化トークンにより、攻撃者はTrivyスキャナーの公開済みバージョンタグに対して悪意あるコードを強制プッシュできたと報告されています。
LiteLLMのCIパイプラインは、検証済みの不変バージョンに固定することなくTrivyをインストールしていたとされています。侵害されたスキャナーはその後LiteLLMのビルドプロセスに侵入し、汚染されたリリースがPyPI上で公開される事態につながりました。
悪意あるパッケージは、Pythonインタプリタの起動時に実行される.pthファイルを使用していたと報告されています。つまり、アプリケーション側で明示的にLiteLLMをインポートしていなくても、ペイロードが実行されてしまう可能性があるということです。
また、.pthファイルの実行はパッケージのインストール時ではなくPythonの起動時に発生するため、--ignore-scriptsのようなインストール時の保護策の効果も薄れてしまいます。
CIランナー上で有効化されると、このペイロードは環境変数、ローカルファイル、プロセスメモリ、クラウドのインスタンスメタデータサービス、マウントされたKubernetesのサービスアカウントパスなどから認証情報を探索できたとされています。
CloudSEKによれば、報告された標的データには、AWS、Azure、Google Cloudの認証情報、リポジトリトークン、SSHキー、Kubernetesのシークレット、パッケージ公開用トークン、AIプロバイダーのAPIキーなどが含まれていました。
また、報告書によると、窃取されたデータは攻撃者が管理するインフラへ送信される前に暗号化されていたとのことです。
外部への持ち出しに失敗した場合には、このマルウェアは被害者のアカウント上に公開GitHubリポジトリを作成し、収集したデータをリリースアセットとしてアップロードしていたと報告されています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/litellm-breach-threatens-cloud/