LiteLLMサプライチェーン攻撃 ―バックドア化されたTrivy GitHub Actionを介したTeamPCP「SANDCLOCK」CI/CD認証情報窃取キャンペーン

Resecurityは、LiteLLMを巻き込んだサプライチェーンセキュリティ侵害の後、152.5GiBに及ぶデータを入手しました。このデータには、数千のドメインに関連する企業の窃取済み認証情報や設定データが含まれています。

2026年3月に発生したLiteLLMサプライチェーン侵害(TeamPCP/「SANDCLOCK」ステーラー)における攻撃者の被害者アーカイブを分析した結果、898のオーナー、2,038のリポジトリにまたがるGitHub Actions/CI-CDランナーから収集された41万5,427件のホスト上シークレット捕捉ファイルが確認されました。本稿では、Trivy→LiteLLMという攻撃連鎖、捕捉されたシークレットの構成、実際にマスキング処理を施した証拠、そして被害組織名を明らかにします。

1   エグゼクティブサマリー

Resecurityは、入手したアーカイブsupplychain_victims.tar(約152.5GiB)を分析しました。このアーカイブには41万5,427件のシークレット捕捉ファイルが含まれています。すべてのファイルは<YYYYMMDD>_<HHMMSS>_<µs>_127.0.0.1.txtという命名規則に従っており、”<name>”:{“value”:”<secret>”,”isSecret”:true}という形式のJSON風シークレットストアを保持しています。一律に127.0.0.1というタグが付いていることから、これらのシークレットは被害ホスト上のプロセス内でダンプされたものであることがわかります。つまり、ネットワーク経由で傍受されたのではなく、稼働中のCI-CDパイプラインのメモリから直接読み取られた環境変数・シークレット情報だということです。

このアーカイブは、TeamPCPが「SANDCLOCK」認証情報窃取ツールを用いて実行したLiteLLMサプライチェーン攻撃に帰属するものです。既に公表されているインシデント報告(本データセットによっても裏付けられています)によれば、TeamPCPは2026年3月19日にTrivy GitHub Action(aquasecurity/trivy-action。被害リポジトリの一覧にも登場します)をバックドア化し、LiteLLMのCIが汚染されたTrivyを自動的にインストールしたことで、LiteLLMのPyPI公開用トークンが窃取され、2026年3月24日に悪意あるlitellm==1.82.7/1.82.8が公開されるに至りました。侵害された各ランナー上では、このステーラーがroot権限へエスカレーションし、SSH鍵、クラウド認証情報、Kubernetesトークン、.envファイル、さらには/proc/<pid>/memからのメモリ上シークレットまでを一掃していました。これはまさに、これらのファイルに捕捉されていた内容と一致します。

付随する被害者一覧マニフェストには、2,038のリポジトリにまたがる898件の侵害されたGitHubオーナー(組織・アカウント)が列挙されています。被害を受けたオーナーには世界的な大手企業も含まれており、その中にはMicrosoft、Azure、IBM、NVIDIA、PayPal(Zettle)、Deloitte、Bosch、S&P Global、Elevance Health、84.51°(Kroger)、Adeo(Leroy Merlin)、Kärcher、Dräger、ID.me、1inchが挙げられます(詳細は第7章参照)。

今回入手できたのはアーカイブの一部にとどまり、そこから回収可能だった1,073ファイルのサンプルから、Resecurityは2,146件のシークレット捕捉レコードを分類しました。最も多く見られたのはGitHub ActionsのGITHUB_TOKENで、サンプルファイルの約98%に存在していました。それ以外にも、GitHub Appの秘密鍵、AWS/GCP/Firebaseの認証情報、コンテナレジストリ(ECR/JFrog)トークン、SSH鍵、コード署名用パスワード、CI用Webhookなどが確認されています。本レポートでは、有効なシークレット値そのものは一切掲載していません。すべての事例は、実際に捕捉されたデータをもとに値をマスキング処理したもの(先頭・末尾のみ保持し、エントロピー部分を除去)です。

評価としては、これは深刻度が高~重大なソフトウェアサプライチェーン侵害です。窃取されたCI-CDトークンは、ソースリポジトリやパッケージレジストリへのプッシュ・公開権限を付与するものであり、下流の成果物を汚染する形で二次的なサプライチェーン拡散を引き起こすほか、クラウドアカウントの乗っ取りにもつながります。実際、このキャンペーン自体もTrivy→LiteLLMという経路でまさにこの手口によって拡散しました。本稿で名前が挙がったすべての組織は、関連する認証情報をすべて侵害済みとみなし、直ちにローテーションするべきです。

2   主要な調査結果

3   インシデントの概要 ― Trivy→LiteLLM攻撃連鎖

これはTeamPCPに帰属する連鎖型のソフトウェアサプライチェーン攻撃であり、「SANDCLOCK」認証情報窃取ツールを配布するものです。信頼され広く利用されているセキュリティツールであるTrivy GitHub Actionがバックドア化されました。数千の組織のCIパイプラインがTrivyを自動的にインストールしていたため、汚染されたActionはそれらのGitHub Actionsランナー内で実行され、手の届く範囲のすべてのシークレットを一掃しました。本アーカイブに一律含まれる127.0.0.1.txtの捕捉ファイルは、このステーラーが実行ごとに残した戦利品ファイルです。

この攻撃連鎖は、本データセットによっても裏付けられています。バックドア化されたaquasecurity/trivy-actionは被害リポジトリのマニフェストに直接登場しており、捕捉データはGitHub Actionsに紐づくもの(ファイルの約98%にsystem.github.tokenが含まれる)で、ランナーの識別子にはactions-runner-controller(arc-prod-…-runner)やGitHub提供ランナーへの参照が見られます。これは報告されているセルフホスト型・ホスト型双方のCI環境と一致しています。

GITHUB_TOKENが重要な理由。 GitHub Actionsの各ジョブには、自動的に生成され、そのリポジトリへの書き込み権限を持つGITHUB_TOKENが付与されます。これが大規模(41万件超の実行)に収集された場合、短命なトークンであるとはいえ、コードのプッシュ、パッケージの公開、リリースの改ざん、リポジトリシークレットの読み取りといった行為を行うための広い時間的猶予が生まれます。これはまさに、サプライチェーン侵害が下流の利用者へと連鎖していく典型的な仕組みです。

4   入手したデータセット ― 範囲と構造

このアーカイブを展開すると、タイムスタンプ付きの.txt捕捉ファイル415,427件からなる単一のextracted/ディレクトリになります(マニフェスト:tree.txt)。ファイルサイズは平均して小さめ(中央値418B)ですが、19万7,410件は50KBを超え、最大では約30MBに達するものもあります。このサイズの分布は、最小限のビーコンや空の実行結果と、シークレットを完全に含む捕捉データとの違いを反映しています。捕捉件数は3月19日~20日に集中し、22日には減少した後、23日~24日に再び増加しています。

5   捕捉されたシークレット ― その構成

1,073ファイルのサンプル全体から、Resecurityはキー名ベースで2,146件のシークレットレコードを分類しました(値については構造的なマスキング以上の検証は行っていません)。その構成は圧倒的にGitHub CI-CDの認証関連情報が中心で、価値の高いクラウド認証情報やレジストリ認証情報がロングテールとして続いています。

6   証拠 ― マスキング済み捕捉サンプル

以下は、シークレットの値をマスキングした状態で再現した実際の捕捉レコードです。実際の種類を示す接頭辞と末尾の文字は保持しつつ(先頭******末尾)、エントロピー部分はすべて除去しているため、事例として真正性を保ちながらも、悪用可能な認証情報は一切開示していません。キー名および非シークレット部分の構造は変更していません。値は実際のサンプルファイルから抽出したものです。

 EXHIBIT A — REAL CAPTURE RECORDS (VALUES MASKED)  ·  *_127.0.0.1.txt
  "github_token":            {"value":"ghs_**********9wDB", "isSecret":true},   // 40-char GH Actions token
  "system.github.token":     {"value":"ghs_**********9wDB", "isSecret":true},
  "GH_ACTIONS_APP_ID":       {"value":"2*****0",           "isSecret":true},
  "GH_ACTIONS_APP_PRIVATE_KEY":{"value":"----**********--","isSecret":true},  // 1,702-char RSA key
  "GH_PAT":                  {"value":"gith**********BfpL", "isSecret":true},   // 93-char PAT
  "AWS_ROLE_TO_ASSUME":      {"value":"arn:aws:iam::26******39:role/GithubAutomationPrisma…","isSecret":true},
  "WORKLOADS_DEV_AWS_ACCESS_KEY_ID":{"value":"AKIA**********5ED","isSecret":true},
  "ECR_REPOSITORY_URI":      {"value":"07******86.dkr.ecr.us-gov-west-1.amazonaws.com/****","isSecret":true},
  "GCP_SERVICE_ACCOUNT":     {"value":"gcp-****@felix-shared-services.iam.gserviceaccount.com","isSecret":true},
  "JFROG_AUTH_TOKEN":        {"value":"eyJ2**********hxiw", "isSecret":true},   // 759-char JWT
  "SECURITY_CI_ERRORS_WEBHOOK_URL":{"value":"https://hooks.slack.com/****","isSecret":true},
  "SIGNING_PASSWORD":        {"value":"xJRp**********EHL6", "isSecret":true}

取り扱い上の注意。 マスキングでは悪用不可能な接頭辞・末尾のみを残していますが、実際のアーカイブには完全な形の有効なトークンや秘密鍵が保存されています。現在も有効な認証情報として取り扱い、暗号化して保管し、アクセスログを記録し、決して再共有しないでください。参照されているシークレットはすべて侵害済みとみなし、ローテーションを実施してください。

7   影響を受けた組織とリポジトリ

被害者一覧マニフェスト(owners.txt、repos.txt)には、2,038のリポジトリにまたがる898件の異なる侵害済みGitHubオーナーが列挙されています。その分布はロングテール型で、631のオーナーは影響を受けたリポジトリが1件のみである一方、最も影響が大きいオーナー(Cencosud-Cencommerce)は64件に及びます。特に注目すべきは、このオーナー一覧に世界的な大手企業や規制対象業種の組織が含まれている点です。

7.1  注目すべき被害組織名(オーナー/リポジトリのマニフェストで確認済み)

注記。 ここに掲載したオーナー名は、防御的な通知を可能にする目的で、流出データ自体のマニフェストから転載したものです。これらは、当該オーナー配下のリポジトリが今回の情報収集に巻き込まれたことを示すものであり、それ単独で各組織の被害の深刻度を確定するものではありません。名前が挙がった各オーナーは、ビルドログのフォレンジック調査を通じて個別に検証を行う必要があります。Microsoft、ヘルスケア(Elevance)、金融データ(S&P Global)、本人確認(ID.me)、さらには米国GovCloudのテナントが含まれていることは、本キャンペーンの深刻度と通知の緊急性を大きく高める要素です。

7.2  クラウドテナントとシークレットに紐づく識別子(サンプルより)

オーナー名だけでなく、捕捉された値の中には、特定のテナントを特定できるクラウド識別子も含まれていました。

7.3  影響を受けたオーナー ― サンプル(898件中45件、リポジトリ数順)

7.4  影響を受けたリポジトリ ― サンプル(2,038件中30件)

上記の1行目(aquasecurity/trivy-action、reviewdog/action-trivy)は、この攻撃連鎖の起点となった汚染済みビルドツール関連のリポジトリであり、それ以外は自らのCIが当該バックドア化Actionを実行してしまった被害リポジトリです。全リストは898オーナー・2,038リポジトリに及びます。

集計範囲と手法に関する注記。 オーナー数・リポジトリ数(898/2,038)は、流出データ自体の被害者一覧マニフェストから取得したものであり、本データセットにおいて信頼できる数値です。クラウドテナントの識別子およびシークレット種類の構成比は、回収できた1,073ファイル(全捕捉データの約0.26%)のサンプルから導き出したものです。シークレットおよびテナントごとの完全な対応関係を把握するには、約152.5GiBのアーカイブ全体を解析する必要があります。展開済みの完全なデータセットが提供されれば、Resecurityはその包括的なマッピングを作成することが可能です。

8   影響とリスク評価

9   帰属分析とTTP(MITRE ATT&CK、推定)

データセットの構造および関連キャンペーンに関する公開情報をもとに評価したものであり、被害者側のテレメトリで確認されたものではありません。

10   侵害指標(IoC)と検知のガイダンス

11   推奨対応

▪ 即時対応(0~72時間)

• 該当するすべての認証情報をローテーションする。 GitHub Appの秘密鍵、PAT、AWS/GCP/Firebaseの認証情報、ECR/JFrogトークン、SSH鍵、署名用パスワードを失効・ローテーションし、セッションを無効化してください。短命なGITHUB_TOKENは自動的に失効しますが、それとともに露出した持続的なシークレットは失効しません。
• サプライチェーンへの拡散有無を監査する。 2026年3月19日~24日の期間におけるリポジトリへのプッシュ履歴、パッケージ/レジストリへの公開、リリースの編集内容を確認し、下流の成果物の整合性を検証するとともに、依存関係のピン留め・検証を行ってください。
• 悪意あるコンポーネントを特定する。 CI/CDのビルドログを調べてトロイの木馬化された依存関係やActionを特定し、削除・ブロックしたうえで、信頼できるソースから再ビルドしてください。
• 影響を受けたテナントおよび当局へ通知する。 GovCloudテナントおよび規制対象データを優先的に扱い、クラウドプロバイダーと連携し、該当する場合は各国のCERTとも協力してください。
• クラウド側の被害範囲を封じ込める。 OIDC/ワークロードアイデンティティの信頼関係を制限し、IAMロールの条件を厳格化し、該当アカウントに異常検知アラートを設定してください。

▪ 短期対応(2~6週間)

• 静的なキーではなくOIDCフェデレーションを用いた、短命かつ最小権限のCIシークレットを導入する。GITHUB_TOKENはデフォルトで読み取り専用とし、必要なジョブごとに権限を昇格させる。
• 依存関係のピン留め、来歴・証明(SLSAビルド等)の実施、Actionの許可リスト化を徹底し、ランナーを隔離する。
• リポジトリおよびレジストリ全体にシークレットスキャンとプッシュ保護を導入し、ランナー上でのローカルシークレットダンプファイルを検知するDLPを追加する。
• 組織のトークンやクラウド識別子について、ダークウェブ・流出情報の継続的な監視体制を構築する。

12   Resecurityについて&免責事項

Resecurityは、企業や政府組織向けにダークウェブ監視、デジタルリスク保護、CTI(サイバー脅威インテリジェンス)サービスを提供するサイバーセキュリティ・脅威インテリジェンス企業です。本レポートはResecurityのHUNTER脅威インテリジェンスユニットが作成しました。

本レポートは、防御目的、状況把握、および被害者への通知を目的としてのみ提供されるものです。調査結果は、攻撃者の被害者アーカイブおよびそのマニフェストの分析に基づいており、LiteLLM/TeamPCP(「SANDCLOCK」)サプライチェーン攻撃に関する既存の公開インシデント報告と照合しています。攻撃連鎖に関する記述は、その公開報告の内容を反映したものです。 

Resecurityは、有効な認証情報を一切再現していません。すべての事例は、実際に捕捉されたデータをもとに値をマスキング処理したもの(先頭・末尾のみ保持し、エントロピー部分を除去)です。オーナー数・リポジトリ数(898/2,038)は流出データのマニフェストから取得したものであり、シークレットおよびテナントごとの詳細は、回収できた1,073ファイルのサンプルから導き出したものです。組織の識別情報は、防御的な通知を可能にする目的でのみ掲載しており、名前が挙がった組織はいずれも犯罪的なサプライチェーン侵害の被害者であって、いかなる過失も含意するものではありません。本稿の内容は法的助言に該当するものではありません。