La compromissione di Trivy rappresenta la maggior parte dell’esposizione attribuita all’attacco a LiteLLM

Secondo un’analisi di SOCRadar, la maggior parte delle organizzazioni collegate a un recente incidente alla catena di approvvigionamento software di LiteLLM sarebbe stata esposta in precedenza a causa di una compromissione che ha coinvolto lo scanner di sicurezza Trivy.

Precedenti report di CloudSEK e HudsonRock stimavano che oltre 2.500 organizzazioni potessero essere state colpite dopo la pubblicazione su PyPI di due versioni malevole del pacchetto LiteLLM il 24 marzo. L’analisi dei record dell’incidente condotta da SOCRadar suggerisce che i pacchetti LiteLLM rappresentassero solo la fase finale di una campagna più ampia associata a TeamPCP, un attore delle minacce collegato ad attacchi che hanno coinvolto il worm Shai-Hulud.

La cronologia indica Trivy

SOCRadar ha esaminato i record relativi a 2.188 organizzazioni, inclusi i timestamp della raccolta, i segreti interessati, i domini e le piattaforme CI/CD. L’attività è stata registrata dal 19 al 24 marzo. Per 2.085 organizzazioni—circa il 95% dell’insieme identificato—la raccolta dei dati si è conclusa prima del rilascio dei pacchetti malevoli LiteLLM.

La prima raccolta osservata è iniziata 18 minuti dopo la comparsa di una build malevola di Trivy il 19 marzo. L’attività è aumentata il 22 e il 23 marzo, mentre immagini Trivy compromesse erano disponibili su Docker Hub, ed è proseguita dopo la messa in quarantena dei pacchetti LiteLLM. I ricercatori hanno affermato che questo schema è coerente con un payload persistente sui sistemi già infetti, piuttosto che con una compromissione limitata alla breve finestra di pubblicazione di LiteLLM.

I pacchetti LiteLLM contenevano un file Python .pth in grado di eseguirsi automaticamente all’avvio di un interprete, anche quando il pacchetto stesso non veniva importato. Questo comportamento poteva inoltre aggirare le protezioni progettate per bloccare gli script di installazione dei pacchetti.

Segreti e identità degli sviluppatori esposti

La campagna ha preso di mira credenziali e altri dati sensibili negli ambienti GitHub Actions, GitLab CI, Jenkins, Bitbucket, CircleCI e Buildkite. Secondo quanto riferito, oltre 1.000 organizzazioni hanno esposto JWT o token di autenticazione. Tra gli altri dati acquisiti figuravano chiavi private, chiavi di accesso AWS, token GitLab e GitHub, chiavi API di OpenAI, webhook Slack e chiavi API di Google.

Anche gli indirizzi e-mail dei committer sono stati esposti in oltre 1.100 organizzazioni, offrendo potenzialmente agli attaccanti sia le identità degli sviluppatori sia le credenziali delle macchine. SOCRadar ha precisato che le sue cifre rappresentano stime dell’esposizione basate su un dataset ricostruito, non intrusioni confermate né un censimento completo delle vittime.

Secondo quanto riferito, le informazioni sottratte vengono pubblicizzate su Telegram in raccolte che includono dati associati a Trivy, LiteLLM e CanisterWorm, suggerendo che i segreti compromessi potrebbero essere già in circolazione tra altri attori delle minacce.