Ein Lieferkettenangriff auf die populäre LiteLLM-Bibliothek hat im März dieses Jahres weitreichende Folgen gehabt. Angreifer schleusten kompromittierte Pakete in den Python Package Index (PyPI) ein, die anschließend zigtausendfach von automatisierten Build-Systemen heruntergeladen und verwendet wurden, bei mehr als 2500 teils namhaften Unternehmen. Die kompromittierten Pakete waren dabei nur rund 40 Minuten online.
434.000 Build-Pipelines betroffen
Die IT-Sicherheitsforscher von CloudSEK schätzen in einem Blogbeitrag, dass die Angreifer potenziell rund 434.000 automatisierte Entwickler-Build-Pipelines unterwandert haben, die bei mehr als 2500 Firmen zum Einsatz kommen. Die vorliegenden Daten zeigen, dass Angreifer auf diese Pipelines hätten zugreifen können, belegen aber nicht abschließend, dass sie das auch getan und alle Zugangsdaten entwendet haben. Die Bedrohung bleibt trotzdem aktuell: Das FBI warnte bereits im Juli davor, dass mit der Cybergang TeamPCP verbundene Akteure gestohlene Zugangsdaten wahrscheinlich noch lange nach dem eigentlichen Angriff missbrauchen. Betroffene sollten deshalb ihre Zugangsdaten ändern, die mögliche Schwachstelle schließen und ihre Systeme härten.
Zu den in der Auflistung betroffener Unternehmen genannten Firmen zählen unter anderem Airbus, Amazon Web Services, Cisco, Hoffmann-La Roche, Salesforce, Samsung, ServiceNow und Siemens, aber auch Epic Games, FedEx, der Rückversicherer Munich Re, Robert Bosch, Thales Group, Volkswagen und X Corp. Bei diesen und vielen weiteren Unternehmen liefen in den automatisierten Build-Systemen zumindest zeitweise die kompromittierten Paketversionen, teils tausende Male. Von einem Teil der Betroffenen konnten die Angreifer zudem Geheimnisse wie Zugangsdaten erbeuten.
Was die Angreifer erbeutet haben
Laut CloudSEK zählen zu den gestohlenen Daten Cloud-Keys, Repository-Token, SSH-Keys, Kubernetes-Secrets, Zugangsdaten für Paket-Publishing, Umgebungsvariablen und Zugangsschlüssel für KI-Anbieter. Das bloße Entfernen der bösartigen Pakete reicht deshalb nicht aus, denn solche Zugangsdaten bleiben oft noch Wochen oder Monate nutzbar, wenn sie nicht aktiv geändert werden und niemand nach Spuren unbefugter Aktivitäten sucht.
Die eingesetzte Infostealer-Malware, die Google „Sandclock" nennt, lief auf den kompromittierten Build-Systemen, weitete ihre Rechte bis auf Root-Ebene aus und suchte gezielt nach verwertbaren Daten. Auf KI-Build-Systemen fahndete sie insbesondere nach LLM-API-Schlüsseln und Gateway-Konfigurationen. Die erbeuteten Daten verschlüsselten die Angreifer mit AES-256 und einem fest einprogrammierten RSA-4096-Schlüssel und schickten sie an Server, die eine Typosquatting-Domain nutzten. Schlägt das Ausschleusen fehl, legt die Malware ersatzweise ein öffentliches Repository im GitHub-Konto des jeweiligen Opfers an und lädt die Daten dort hoch. Wenn du LiteLLM einsetzt, solltest du deine Build-Pipelines auf verdächtige Aktivitäten prüfen und sämtliche Zugangsdaten vorsorglich rotieren.