Trivy-Kompromittierung erklärt den Großteil der dem LiteLLM-Angriff zugeschriebenen Gefährdung

Die meisten Organisationen, die mit einem kürzlich aufgetretenen Software-Lieferkettenvorfall bei LiteLLM in Verbindung gebracht werden, waren offenbar bereits zuvor durch eine Kompromittierung des Sicherheitsscanners Trivy gefährdet, so eine Analyse von SOCRadar.

Frühere Berichte von CloudSEK und HudsonRock schätzten, dass mehr als 2.500 Organisationen betroffen sein könnten, nachdem am 24. März zwei manipulierte LiteLLM-Paketversionen auf PyPI veröffentlicht worden waren. Die Untersuchung von SOCRadar zu den Vorfallsdaten legt nahe, dass die LiteLLM-Pakete lediglich die letzte Phase einer umfassenderen Kampagne im Zusammenhang mit TeamPCP darstellten, einem Bedrohungsakteur, der mit Angriffen unter Einsatz des Shai-Hulud-Wurms in Verbindung gebracht wird.

Zeitleiste deutet auf Trivy hin

SOCRadar untersuchte Datensätze zu 2.188 Organisationen, darunter Zeitstempel der Datensammlung, betroffene Geheimnisse, Domains und CI/CD-Plattformen. Die Aktivitäten wurden vom 19. bis zum 24. März erfasst. Bei 2.085 Organisationen – etwa 95 % der identifizierten Gruppe – endete die Datensammlung, bevor die schädlichen LiteLLM-Pakete veröffentlicht wurden.

Die früheste beobachtete Datensammlung begann 18 Minuten nach dem Auftauchen eines schädlichen Trivy-Builds am 19. März. Die Aktivität nahm am 22. und 23. März zu, während manipulierte Trivy-Images auf Docker Hub verfügbar waren, und setzte sich fort, nachdem die LiteLLM-Pakete unter Quarantäne gestellt worden waren. Die Forscher erklärten, dieses Muster stehe im Einklang mit einer auf bereits infizierten Systemen fortbestehenden Payload und nicht mit einer Kompromittierung, die auf das kurze Veröffentlichungsfenster von LiteLLM beschränkt gewesen sei.

Die LiteLLM-Pakete enthielten eine Python-.pth-Datei, die automatisch ausgeführt werden konnte, sobald ein Interpreter gestartet wurde, selbst wenn das Paket selbst nicht importiert wurde. Dieses Verhalten konnte zudem Schutzmechanismen umgehen, die zur Blockierung von Installationsskripten von Paketen entwickelt wurden.

Geheimnisse und Entwickleridentitäten offengelegt

Die Kampagne zielte auf Zugangsdaten und andere vertrauliche Daten in Umgebungen von GitHub Actions, GitLab CI, Jenkins, Bitbucket, CircleCI und Buildkite. Berichten zufolge legten mehr als 1.000 Organisationen JWTs oder Authentifizierungstoken offen. Zu den weiteren erfassten Daten gehörten private Schlüssel, AWS-Zugriffsschlüssel, GitLab- und GitHub-Token, OpenAI-API-Schlüssel, Slack-Webhooks und Google-API-Schlüssel.

Auch die E-Mail-Adressen von Committern wurden bei mehr als 1.100 Organisationen offengelegt. Dadurch könnten Angreifer sowohl Entwickleridentitäten als auch Maschinenzugangsdaten erlangt haben. SOCRadar wies darauf hin, dass seine Zahlen Schätzungen zur Gefährdung auf Grundlage eines rekonstruierten Datensatzes darstellen und weder bestätigte Eindringversuche noch eine vollständige Erfassung der Opfer repräsentieren.

Die gestohlenen Informationen werden Berichten zufolge auf Telegram in Sammlungen angeboten, die Daten im Zusammenhang mit Trivy, LiteLLM und CanisterWorm enthalten. Dies deutet darauf hin, dass kompromittierte Geheimnisse möglicherweise bereits unter anderen Bedrohungsakteuren zirkulieren.