Auf den Punkt: Zwei manipulierte LiteLLM-Versionen auf PyPI stahlen 40 Minuten lang Zugangsdaten und Tokens, wovon laut CloudSEK über 2.500 Organisationen betroffen sind – Teil der TeamPCP-Lieferkettenkampagne (CVE-2026-33634) mit bestätigten Folgeschäden bei Checkmarx und der EU-Kommission.
Ende März 2026 wurden auf PyPI zwei manipulierte Versionen des KI-Gateways LiteLLM veröffentlicht, die Zugangsdaten und Tokens abgriffen. CloudSEK ordnet den Vorfall der Lieferketten-Kampagne der Gruppe TeamPCP (UNC6780) zu, von der über 2.500 Organisationen betroffen sein sollen – darunter NVIDIA, Cisco, Deloitte, Volkswagen, FedEx und Siemens.
In der Paketverwaltung PyPI wurden die kompromittierten LiteLLM-Versionen 1.82.7 und 1.82.8 veröffentlicht. LiteLLM dient als KI-Gateway zur Anbindung verschiedener Sprachmodelle und wird entsprechend breit in Entwicklungsumgebungen eingesetzt. Die manipulierten Pakete waren rund 40 Minuten aktiv, bevor PyPI sie unter Quarantäne stellte. Über eine Datei namens litellm_init.pth wurde der Schadcode automatisch bei jedem Start eines Python-Prozesses ausgeführt – unabhängig davon, ob die Bibliothek im jeweiligen Skript explizit importiert wurde. Die Schadsoftware las gezielt Umgebungsvariablen aus, darunter API-Schlüssel wie OPENAI_API_KEY und ANTHROPIC_API_KEY, SSH-Schlüssel, Kubernetes-Tokens, Cloud-Zugangsdaten und Datenbankpasswörter, und übertrug die abgefangenen Daten verschlüsselt an die von den Angreifern kontrollierte Domain models.litellm[.]cloud.
Das Sicherheitsunternehmen CloudSEK analysierte einen Datensatz aus rund 434.000 abgefangenen Log- und Beutedateien und ordnete die Daten über 2.500 Organisationen zu, darunter NVIDIA, Cisco, Deloitte, Volkswagen, FedEx und Siemens. Die Zuordnung erfolgte anhand von Identitätssignalen aus CI/CD-Pipelines wie Host-IDs und Entwickler-Domains. Der Vorfall ist Teil einer umfassenderen Lieferketten-Kampagne der Angreifergruppe TeamPCP (von Google als UNC6780 nachverfolgt), geführt unter der Kennung CVE-2026-33634. Im Rahmen derselben Welle wurden auch Releases der Sicherheitssoftware Trivy kompromittiert. Das FBI warnte in einer Sicherheitsmitteilung, dass entwendete Zugangsdaten noch lange nach dem eigentlichen Einbruch missbraucht werden können.
Für CISOs ist der Vorfall relevant, weil er zeigt, wie eine einzelne kompromittierte Abhängigkeit in einer weit verbreiteten KI-Infrastrukturkomponente über CI/CD-Pipelines hinweg systematisch Geheimnisse abgreifen kann, ohne dass eine explizite Codeausführung durch Entwickler nötig ist. Die praktischen Auswirkungen sind bereits bestätigt: Bei Checkmarx führten die entwendeten Zugangsdaten zu unbefugten Zugriffen auf GitHub-Repositories. CERT-EU stellte zudem fest, dass über den Angriff auf die Trivy-Lieferkette rund 91,7 GB komprimierte Daten aus einem AWS-Konto der Europäischen Kommission abgeflossen sind.
Sicherheitsexperten und Ermittlungsbehörden empfehlen betroffenen Teams, Systeme auf Installationen von LiteLLM 1.82.7 oder 1.82.8 im Zeitfenster vom 24. März 2026 (10:39 bis 16:00 UTC) zu überprüfen, sämtliche Zugangsdaten, API-Schlüssel, SSH-Schlüssel und Veröffentlichungstokens auszutauschen, die von den betroffenen Systemen erreichbar waren, sowie die eigenen GitHub-Organisationen nach verdächtigen Repositories mit Namenspräfixen wie tpcp-docs oder docs-tpcp zu durchsuchen, die von der Malware zur Datenausleitung angelegt wurden.
Quelle: www.it-daily.net · Erschienen 13. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.