2,500組織侵害の背後にあったのはLiteLLMではなくTrivy

LiteLLMのサプライチェーン攻撃で被害を受けたとされる2,500組織のうち、そのほとんどは実際にはそれ以前に侵害されていたことが、SOCRadarの報告で明らかになりました。

この侵害は、Shai-Hulwormを使った複数のオープンソースソフトウェア(OSS)サプライチェーン攻撃の背後にいる脅威アクターTeamPCPによるものとされ、同グループ自身もこれを認めています。

事の発端はAqua SecurityのTrivyスキャナーでした。マルウェアのワームのような自己増殖挙動と、悪意あるライブラリが多数のビルドに自動的に組み込まれていく仕組みによって波及効果が生まれ、下流の複数のパッケージやリポジトリへと連鎖的に広がっていったのです。

今週初め、CloudSEKとHudsonRockは、LiteLLMの攻撃によって2,500組織以上が影響を受けた可能性があると発表しました。しかしSOCRadarによれば、そのほとんどはLiteLLMではなくTrivyの侵害による被害者だったといいます。

TeamPCPに関連するすべての侵害は、共通のパターンをたどっていました。感染したパッケージが取得・実行されると悪意あるコードが自動的に実行され、認証情報、トークン、APIキーなどの機密情報を収集する仕組みです。

さらにこのワームは、盗み出した開発者の機密情報を悪用してアクセス可能なパッケージを改ざんし、悪意あるバージョンをレジストリに公開することで、攻撃対象を拡大していきました。

これがLiteLLMの侵害が起きた経緯です。汚染された2つのパッケージバージョンが3月24日に公開され、約40分間オンライン上に残っていました。

これらのパッケージには.pthファイルが仕込まれており、Pythonのインタプリタ起動時に自動的に実行される仕組みになっていました。LiteLLMをインポートしなくても実行され、ignore-scriptsによる保護も回避していたのです。

侵害が発生した期間

SOCRadarによれば、LiteLLMのインシデントデータを詳細に調査したところ、タイムスタンプ、認証情報の種類、CI/CDプラットフォーム、ドメインなどを含む、2,188組織分の記録が確認されたといいます。

「すべての記録には最初の検知時刻と最後の検知時刻が記録されています。最も早いものは3月19日18時05分(UTC)、最も遅いものは3月24日20時09分(UTC)で、その差はわずか5日強です」と同社は指摘しています。

特定された2,188組織のうち95%にあたる2,085組織では、汚染されたLiteLLMパッケージがレジストリに公開された3月24日より前に、データ収集活動が終了していました。

「このタイミングは、LiteLLMのインストール期間ではなく、上流のTrivy侵害と一致します。誰もが報じたあの40分間は、いわば幕引きの場面に過ぎず、劇の全体像ではなかったのです」とSOCRadarは述べています。

最も早い収集活動は、悪意あるTrivyビルドが公開された3月19日から18分後に発生していました。活動は、悪意あるTrivyイメージがDocker Hub上で稼働していた3月22日と3月23日にピークを迎え、PyPIがパッケージを隔離した3月24日に終息しています。

「[これは]感染済みホスト上での永続化がどのようなものかを示す典型例です。感染源が消えた後も、.pthペイロードは動作し続けていました」とSOCRadarは指摘しています。

この侵害には、GitHub Actions、GitLab CI、Jenkins、Bitbucket、CircleCI、Buildkiteの6つのCI/CDプラットフォームが関わっており、世界中の組織に影響が及びました。中でもドイツ、ブラジル、フランスの被害が最も大きかったとされています。

盗まれ、今や売買されている機密情報

マルウェアは幅広い機密情報を標的にしていましたが、1,000組織以上でJWTおよび認証トークンが流出していました。数百組織では、秘密鍵、AWSアクセスキー、GitLabトークン、OpenAI APIキー、Slack Webhook、GitHub Actionsトークン、Google APIキーが流出しています。

「このデータセット内で機密情報の件数が最も多かったのはおよそ3,477件(該当組織名は非公表)で、次いでおよそ3,459件でした。機密情報の件数が多い記録の中には、非常に少数のファイルやリポジトリに集中しているものもあります。ある記録では、わずか6つのファイルに3,459件の機密情報が含まれていました」とSOCRadarは指摘しています。

同社はまた、1,100組織以上でコミッターのメールアドレスが侵害されたことも指摘しています。こうしたケースでは、攻撃者は開発者本人の身元情報とマシントークンの両方を手に入れていることになります。

「記録レベルのデータセットに含まれる2,188組織のうち、56%が高信頼度、39%が中信頼度、6%が低信頼度と評価されています(数値は四捨五入)。大々的に報じられた『2,500組織以上』という数字は、どの記録に帰属特定可能な識別子が含まれているかによって差が生じています」とSOCRadarは指摘しています。

「高信頼度の一致は、盗まれた認証情報が実際に使用された痕跡ではなく、CIホストの身元や正当なコミッターのドメイン、つまり捕捉されたファイルがどのシステム由来かに基づいて判定されています。これらは確認済みの侵害件数ではなく、あくまで露出件数であり、完全な全数調査ではなく再構築されたサンプルから導き出されたものです」と同社は続けています。

盗み出された情報は、すでに売買が始まっています。ある脅威アクターはTelegram上で、LiteLLM、Trivy、CanisterWormのデータをまとめたコレクションを販売しており、キャンペーンの各段階で収集されたものとみられています。